Anda dapat menetapkan praktik keamanan untuk Google Distributed Cloud dengan menerapkan konsep dari Kubernetes dan Google Kubernetes Engine (GKE), beserta kontrol yang unik untuk platform tersebut. Rekomendasi ini membantu Anda membangun postur keamanan dasar di seluruh hardware fisik, node, jaringan cluster, dan workload.
Keamanan Kubernetes
Sebaiknya ikuti panduan umum Kubernetes untuk keamanan saat Anda menggunakan Google Distributed Cloud.
Untuk pengantar panduan keamanan Kubernetes, lihat Checklist Keamanan dan Ringkasan Keamanan Berbasis Cloud dalam dokumentasi Kubernetes.
Keamanan GKE
Google Distributed Cloud memperluas GKE agar Anda dapat membuat cluster GKE di server Linux Anda sendiri di infrastruktur lokal Anda sendiri. Untuk mempelajari lebih lanjut keamanan GKE, lihat ringkasan keamanan GKE. Saat membaca, perlu diingat bahwa karena bidang kontrol dan node Anda berjalan di infrastruktur lokal, saran untuk keamanan bidang kontrol dan keamanan node tidak berlaku.
Keamanan Google Distributed Cloud
Bagian berikut memberikan panduan untuk menetapkan praktik keamanan yang baik untuk Google Distributed Cloud.
Keamanan hardware
Amankan pusat data lokal Anda dengan fitur keamanan dan keselamatan fisik standar industri.
Pastikan akses ke workstation admin Anda sangat dibatasi. Workstation admin menyimpan data sensitif seperti file
kubeconfig, kunci SSH, dan kunci akun layanan.
Keamanan node
Selalu update sistem operasi Anda dengan mengupdate paket software dan menginstal patch keamanan.
Untuk kontrol tambahan atas penarikan image workload dan manfaat keamanan terkait, Anda dapat mengonfigurasi worker node untuk melakukan autentikasi ke registry pribadi. Dukungan registry pribadi untuk node tersedia dalam versi Pratinjau untuk cluster versi 1.29.
Secara default, Google Distributed Cloud menambahkan repositori
aptDocker dan kunci GPG yang diperlukan ke node cluster Anda. Sebagai alternatif untuk menambahkan repositori paket ke setiap node cluster dalam deployment, Anda dapat mengonfigurasi cluster untuk menggunakan repositori paket pribadi untuk image container.
Keamanan cluster
Isolasi traffic dan data Anda menggunakan deployment cluster admin dan pengguna. Jenis deployment ini membantu Anda mencapai jenis isolasi berikut:
- Traffic workload diisolasi dari traffic administratif atau bidang pengelolaan.
- Akses cluster diisolasi berdasarkan grup atau peran.
- Workload produksi diisolasi dari workload pengembangan.
Upgrade cluster Anda ke versi yang didukung. Menggunakan versi yang didukung akan memberi Anda manfaat keamanan berikut:
- Perbaikan untuk kerentanan keamanan.
- Fitur dan fungsi baru yang memanfaatkan postur dan teknologi keamanan terbaru.
- Update untuk software dan komponen yang dipaketkan.
Untuk mengurangi eksposur eksternal dan manfaat keamanan lainnya, Anda dapat mengonfigurasi mirror registry untuk menginstal komponen Google Distributed Cloud dari salinan lokal registry publik.
Cluster etcd untuk software Distributed Cloud hanya mengenkripsi secret dalam etcd menggunakan
EncryptionConfigurationdengan AES-CBC. Anda tidak dapat mengubah konfigurasi ini. Nilai dienkripsi dengan enkripsi statis dan software Distributed Cloud hanya menggunakan mTLS untuk mengenkripsi komunikasi antara etcd dan server API serta di antara peer etcd. Untuk mengetahui informasi selengkapnya tentang etcd dan enkripsi, lihat Mengenkripsi data rahasia dalam penyimpanan.
Keamanan workload
Amankan container Anda menggunakan Security-Enhanced Linux (SELinux).
Amankan workload Anda dengan Otorisasi Biner. Otorisasi Biner adalah layanan di Google Cloud yang menyediakan keamanan supply chain software untuk aplikasi yang berjalan di cloud. Dengan Otorisasi Biner, Anda dapat memastikan bahwa proses internal yang menjaga kualitas dan integritas software telah berhasil diselesaikan sebelum aplikasi di-deploy ke lingkungan produksi.
Gunakan Workload Identity Federation for GKE untuk memberi Pod akses ke resource Google Cloud . Workload Identity Federation untuk GKE memungkinkan akun layanan Kubernetes dijalankan sebagai akun layanan IAM. Pod yang dijalankan sebagai akun layanan Kubernetes memiliki izin akun layanan IAM.
Keamanan jaringan
Pilih koneksi yang aman antara Google Distributed Cloud dan Google Cloud. Setelah koneksi dasar Anda siap, tambahkan fitur yang meningkatkan keamanan koneksi Anda.
Batasi eksposur cluster Anda ke internet publik dengan menginstalnya di balik proxy dan membuat aturan firewall. Gunakan juga kontrol yang sesuai di lingkungan jaringan Anda untuk membatasi akses publik ke cluster.
Keamanan autentikasi
Mengelola identitas dengan GKE Identity Service. GKE Identity Service adalah layanan autentikasi yang memungkinkan Anda membawa solusi identitas yang sudah ada untuk autentikasi ke beberapa lingkunganGoogle Cloud . Anda dapat login ke dan menggunakan cluster Google Distributed Cloud dari command line (semua penyedia) atau dari konsol Google Cloud (khusus OIDC), semuanya menggunakan penyedia identitas yang sudah ada.
Menghubungkan ke cluster terdaftar dengan Connect gateway. Gateway Connect memanfaatkan kemampuan fleet untuk memungkinkan pengguna terhubung dan menjalankan perintah terhadap cluster terdaftar dengan cara yang konsisten dan aman.
Keamanan kredensial
Merotasi certificate authority. Google Distributed Cloud menggunakan sertifikat dan kunci pribadi untuk mengautentikasi dan mengenkripsi koneksi antara komponen sistem dalam cluster. Untuk menjaga komunikasi cluster yang aman, rotasikan certificate authority cluster pengguna Anda secara berkala dan setiap kali ada kemungkinan pelanggaran keamanan.
Merotasi kunci akun layanan. Untuk mengurangi risiko keamanan yang disebabkan oleh kebocoran kunci, sebaiknya Anda merotasi kunci layanan secara rutin.
Memantau keamanan Anda
- Gunakan logging audit Kubernetes. Logging audit memungkinkan administrator menyimpan, membuat kueri, memproses, dan memberi tahu peristiwa yang terjadi di lingkungan Google Distributed Cloud Anda.
Untuk mengetahui informasi selengkapnya tentang cara memantau keamanan cluster, lihat Memantau postur keamanan fleet.