Panoramica sulla sicurezza

Puoi stabilire pratiche di sicurezza per Google Distributed Cloud applicando i concetti di Kubernetes e Google Kubernetes Engine (GKE), insieme ai controlli esclusivi della piattaforma. Questi suggerimenti ti aiutano a creare una security posture di base per l'hardware fisico, i nodi, le reti di cluster e i workload.

Sicurezza di Kubernetes

Ti consigliamo di seguire le linee guida generali di Kubernetes per la sicurezza quando utilizzi Google Distributed Cloud.

Per un'introduzione alle linee guida per la sicurezza di Kubernetes, consulta l'elenco di controllo per la sicurezza e la panoramica della sicurezza cloud-native nella documentazione di Kubernetes.

Sicurezza GKE

Google Distributed Cloud estende GKE per consentirti di creare cluster GKE sui tuoi server Linux on-premise. Per scoprire di più sulla sicurezza di GKE, consulta la panoramica della sicurezza di GKE. Durante la lettura, tieni presente che, poiché il control plane e i nodi vengono eseguiti on-premise, i suggerimenti per la sicurezza del control plane e la sicurezza dei nodi non si applicano.

Sicurezza di Google Distributed Cloud

Le sezioni seguenti forniscono indicazioni per stabilire buone pratiche di sicurezza per Google Distributed Cloud.

Sicurezza hardware

  • Proteggi i tuoi data center on-premise con funzionalità di sicurezza fisica e protezione standard di settore.

  • Assicurati che l'accesso alla tua workstation di amministrazione sia altamente limitato. La workstation di amministrazione archivia dati sensibili come file kubeconfig, chiavi SSH e chiavi dei account di servizio.

Sicurezza dei nodi

  • Mantieni aggiornato il sistema operativo aggiornando i pacchetti software e installando le patch di sicurezza.

  • Per un maggiore controllo sui pull delle immagini dei workload e sui relativi vantaggi in termini di sicurezza, puoi configurare i nodi worker per l'autenticazione in un registry privato. Il supporto del registry privato per i nodi è disponibile in anteprima per i cluster della versione 1.29.

  • Per impostazione predefinita, Google Distributed Cloud aggiunge il repository Docker apt e la chiave GPG necessaria ai nodi del cluster. In alternativa all'aggiunta di Package Repository a ogni nodo del cluster nel tuo deployment, puoi configurare il cluster in modo che utilizzi un Package Repository privato per le immagini container.

Sicurezza dei cluster

  • Rafforza la sicurezza dei cluster Google Distributed Cloud.

  • Isola il traffico e i dati utilizzando un deployment di cluster utente e amministratore. Questo tipo di deployment ti aiuta a ottenere i seguenti tipi di isolamento:

    • Il traffico del workload è isolato dal traffico amministrativo o del piano di gestione.
    • L'accesso al cluster è isolato per gruppo o ruolo.
    • I workload di produzione sono isolati da quelli di sviluppo.

  • Esegui l'upgrade dei cluster a una versione supportata. L'utilizzo di una versione supportata offre i seguenti vantaggi in termini di sicurezza:

    • Correzioni per le vulnerabilità di sicurezza.
    • Nuove funzionalità che sfruttano la security posture e le tecnologie più recenti.
    • Aggiornamenti per software e componenti in bundle.

  • Per ridurre l'esposizione esterna e ottenere altri vantaggi in termini di sicurezza, puoi configurare un mirror del registry per installare i componenti di Google Distributed Cloud da una copia locale del registry pubblico.

  • Il cluster etcd per il software Distributed Cloud cripta i secret all'interno di etcd utilizzando EncryptionConfiguration con AES-CBC. Non puoi modificare questa configurazione. I valori vengono criptati con la crittografia statica e il software Distributed Cloud utilizza solo mTLS per criptare la comunicazione tra etcd e il server API e tra i peer etcd. Per saperne di più su etcd e sulla crittografia, consulta Crittografia dei dati riservati at-rest.

Sicurezza dei workload

Sicurezza di rete

Sicurezza dell'autenticazione

  • Gestisci l'identità con GKE Identity Service. GKE Identity Service è un servizio di autenticazione che ti consente di adottare le tue soluzioni di identità esistenti per l'autenticazione in più ambientiGoogle Cloud . Puoi accedere e utilizzare i tuoi cluster Google Distributed Cloud dalla riga di comando (tutti i provider) o dalla console Google Cloud (solo OIDC), utilizzando il tuo provider di identità esistente.

  • Connettiti ai cluster registrati con il gateway Connect. Il gateway Connect si basa sulla potenza dei parchi risorse per consentire agli utenti di connettersi ed eseguire comandi sui cluster registrati in modo coerente e sicuro.

Sicurezza delle credenziali

  • Ruota le autorità di certificazione. Google Distributed Cloud utilizza certificati e chiavi private per autenticare e criptare le connessioni tra i componenti di sistema nei cluster. Per mantenere una comunicazione sicura del cluster, ruota periodicamente le autorità di certificazione del cluster utente e ogni volta che si verifica una possibile violazione della sicurezza.

  • Ruota le account di servizio account. Per ridurre il rischio per la sicurezza causato dalla fuga di chiavi, ti consigliamo di ruotare regolarmente le chiavi di servizio.

Monitoraggio della tua sicurezza

  • Utilizza l'audit logging di Kubernetes. L'audit logging consente agli amministratori di conservare, eseguire query, elaborare e creare avvisi sugli eventi che si verificano negli ambienti Google Distributed Cloud.

Per saperne di più sul monitoraggio della sicurezza dei cluster, consulta Monitora la security posture del parco risorse.