כדי להגדיר נוהלי אבטחה ב-Google Distributed Cloud, אתם יכולים להשתמש במושגים מ-Kubernetes ומ-Google Kubernetes Engine (GKE), וגם באמצעי בקרה ייחודיים לפלטפורמה. ההמלצות האלה יעזרו לכם לבנות מצב אבטחה בסיסי בחומרה הפיזית, בצמתים, ברשתות של האשכולות ובעומסי העבודה.
אבטחת Kubernetes
כשמשתמשים ב-Google Distributed Cloud, מומלץ לפעול לפי ההנחיות הכלליות של Kubernetes בנושא אבטחה.
למבוא על הנחיות האבטחה של Kubernetes, קראו את רשימת המשימות לאבטחה ואת הסקירה הכללית על אבטחה מבוססת-ענן במסמכי התיעוד של Kubernetes.
אבטחה ב-GKE
Google Distributed Cloud מרחיב את GKE ומאפשר לכם ליצור אשכולות GKE בשרתי Linux בארגון שלכם. מידע נוסף על אבטחת GKE זמין בסקירה הכללית על אבטחת GKE. כשאתם קוראים את המאמר, חשוב לזכור שמישור הבקרה והצמתים פועלים באופן מקומי, ולכן ההצעות לאבטחת מישור הבקרה ולאבטחת הצמתים לא רלוונטיות.
אבטחה ב-Google Distributed Cloud
בקטעים הבאים מוסבר איך להגדיר שיטות אבטחה טובות ב-Google Distributed Cloud.
אבטחת חומרה
לאבטח את מרכזי הנתונים המקומיים באמצעות תכונות בטיחות ואבטחה פיזית שעומדות בתקנים המקובלים בתחום.
חשוב לוודא שהגישה לתחנת העבודה של האדמין מוגבלת מאוד. בתחנת העבודה של האדמין מאוחסנים נתונים רגישים כמו קובצי
kubeconfig, מפתחות SSH ומפתחות של חשבונות שירות.
אבטחת צמתים
חשוב לעדכן את מערכת ההפעלה על ידי עדכון חבילות התוכנה והתקנת תיקוני אבטחה.
כדי לשלוט טוב יותר במשיכות של קובצי אימג' של עומסי עבודה וליהנות מיתרונות אבטחה קשורים, אתם יכולים להגדיר צומתי עובדים לאימות מול מאגר פרטי. תמיכה במאגר פרטי לצמתים זמינה בגרסת טרום-השקה (Preview) לאשכולות בגרסה 1.29.
כברירת מחדל, Google Distributed Cloud מוסיף את מאגר Docker
aptואת מפתח ה-GPG הנדרש לצומתי האשכול. במקום להוסיף מאגרי Package Repository לכל צומת באשכול בפריסה, אתם יכולים להגדיר את האשכול כך שישתמש במאגר Package Repository פרטי לקובצי אימג' של קונטיינרים.
אבטחת אשכולות
מבודדים את התנועה והנתונים באמצעות פריסת אשכולות של אדמינים ומשתמשים. סוג הפריסה הזה עוזר להשיג את סוגי הבידוד הבאים:
- תנועת עומס העבודה מבודדת מתנועת הניהול או ממישור הניהול.
- הגישה לאשכול מבודדת לפי קבוצה או תפקיד.
- עומסי עבודה בסביבת ייצור מבודדים מעומסי עבודה בסביבת פיתוח.
לשדרג את האשכולות לגרסה נתמכת. שימוש בגרסה נתמכת מספק את יתרונות האבטחה הבאים:
- תיקונים של נקודות חולשה באבטחה.
- תכונות ופונקציות חדשות שמנצלות את מצב האבטחה והטכנולוגיות העדכניות ביותר.
- עדכונים לתוכנות ולרכיבים שמגיעים עם המכשיר.
כדי לצמצם את החשיפה החיצונית וליהנות מיתרונות אבטחה נוספים, אתם יכולים להגדיר שיקוף של מאגר כדי להתקין רכיבים של Google Distributed Cloud מעותק מקומי של המאגר הציבורי.
אשכול ה-etcd של תוכנת Distributed Cloud מצפין רק סודות בתוך etcd באמצעות
EncryptionConfigurationעם AES-CBC. אי אפשר לשנות את ההגדרה הזו. הערכים מוצפנים באמצעות הצפנה סטטית, והתוכנה של Distributed Cloud משתמשת רק ב-mTLS כדי להצפין את התקשורת בין etcd לבין שרת ה-API ובין עמיתי etcd. למידע נוסף על etcd והצפנה, קראו את המאמר הצפנת נתונים סודיים במנוחה.
אבטחת עומסי עבודה
אבטחת הקונטיינרים באמצעות Security-Enhanced Linux (SELinux).
אבטחת עומסי העבודה באמצעות Binary Authorization Binary Authorization הוא שירות ב- Google Cloud שמספק אבטחה לשרשרת האספקה של תוכנות לאפליקציות שפועלות בענן. באמצעות Binary Authorization, אתם יכולים לוודא שהתהליכים הפנימיים ששומרים על האיכות והתקינות של התוכנה הושלמו בהצלחה לפני פריסת האפליקציה בסביבת הייצור.
משתמשים באיחוד זהויות של עומסי עבודה ל-GKE כדי לתת ל-Pods גישה למשאבי Google Cloud . איחוד זהויות של עומסי עבודה ל-GKE מאפשר לחשבון שירות של Kubernetes לפעול כחשבון שירות של IAM. ל-Pods שפועלים בתור חשבון השירות של Kubernetes יש את ההרשאות של חשבון השירות ב-IAM.
אבטחת רשת
בחירת חיבור מאובטח בין Google Distributed Cloud לביןGoogle Cloud. אחרי שהחיבור הבסיסי מוכן, מוסיפים תכונות שמשפרות את אבטחת החיבור.
כדי להגביל את החשיפה של האשכולות לאינטרנט הציבורי, התקינו אותם מאחורי שרת proxy וצרו כללי חומת אש. בנוסף, צריך להשתמש באמצעי הבקרה המתאימים בסביבת הרשת כדי להגביל את הגישה הציבורית לאשכול.
אבטחת האימות
ניהול זהויות באמצעות GKE Identity Service GKE Identity Service הוא שירות אימות שמאפשר לכם להשתמש בפתרונות הקיימים שלכם לניהול זהויות כדי לבצע אימות בכמה סביבותGoogle Cloud . אתם יכולים להיכנס לאשכולות של Google Distributed Cloud ולהשתמש בהם משורת הפקודה (כל הספקים) או ממסוף Google Cloud (OIDC בלבד), באמצעות ספק הזהויות הקיים שלכם.
התחברות לאשכולות רשומים באמצעות Connect gateway. שער Connect מתבסס על היכולות של Fleet כדי לאפשר למשתמשים להתחבר לאשכולות רשומים ולהריץ בהם פקודות באופן עקבי ומאובטח.
אבטחת פרטי הכניסה
רוטציה של רשויות אישורים. ב-Google Distributed Cloud, המערכת משתמשת באישורים ובמפתחות פרטיים כדי לאמת ולהצפין את החיבורים בין רכיבי המערכת באשכולות. כדי לשמור על תקשורת מאובטחת באשכול, צריך להחליף את רשויות האישורים של אשכול המשתמשים מדי פעם, ובכל פעם שיש חשש לפרצת אבטחה.
החלפת מפתחות של חשבונות שירות. כדי לצמצם את סיכון האבטחה שנוצר בגלל מפתחות שדלפו, מומלץ לבצע רוטציה למפתחות של חשבונות השירות באופן קבוע.
מעקב אחרי האבטחה
- שימוש ביומני ביקורת של Kubernetes. באמצעות רישום ביומן הביקורת, אדמינים יכולים לשמור אירועים שמתרחשים בסביבות Google Distributed Cloud, לשלוח שאילתות לגביהם, לעבד אותם ולקבל התראות עליהם.
איך עוקבים אחרי מצב האבטחה של ה-fleet