Visão geral da segurança

Nesta página, você encontra uma introdução para estabelecer boas práticas de segurança para o Google Distributed Cloud. As orientações nesta página não têm o objetivo de fornecer uma lista abrangente de práticas recomendadas.

O uso de práticas recomendadas de segurança no Google Distributed Cloud envolve a aplicação de conceitos do Kubernetes e do Google Kubernetes Engine (GKE), bem como conceitos exclusivos do Google Distributed Cloud.

Segurança do Kubernetes

Recomendamos que você siga as diretrizes gerais de segurança do Kubernetes ao usar o Google Distributed Cloud.

Para uma introdução às diretrizes de segurança do Kubernetes, consulte a Lista de verificação de segurança e a Visão geral da segurança nativa do Cloud na documentação do Kubernetes.

Segurança do GKE

O Google Distributed Cloud estende o GKE para permitir que você crie clusters do GKE nos seus próprios servidores Linux no local. Para saber mais sobre a segurança do GKE, consulte a visão geral de segurança do GKE. Como você está lendo, tenha em mente que, como seu plano de controle e os nós são executados no local, as sugestões para segurança do plano de controle e segurança do nó não se aplicam.

Segurança do Google Distributed Cloud

As seções a seguir fornecem orientações para estabelecer boas práticas de segurança para o Google Distributed Cloud.

Segurança de hardware

  • Proteja seus data centers locais com recursos de segurança física e proteção padrão do setor.

  • Certifique-se de que o acesso à estação de trabalho do administrador seja altamente restrito. A estação de trabalho do administrador armazena dados confidenciais, como arquivos kubeconfig, chaves SSH e chaves da conta de serviço.

Segurança de nós

  • Atualize seu pacote de software e instale patches de segurança para manter seu sistema operacional atualizado.

  • Para ter mais controle sobre os envios de imagem de carga de trabalho e os benefícios de segurança relacionados, configure os nós de trabalho para autenticação em um registro particular. O suporte a registros particulares para nós está disponível na Pré-lançamento para clusters da versão 1.29.

  • Por padrão, o Google Distributed Cloud adiciona o repositório apt do Docker e a chave GPG necessária aos nós do cluster. Como alternativa à adição de repositórios de pacotes a cada nó de cluster na implantação, é possível configurar o cluster para usar um repositório de pacotes privado para imagens de contêineres.

Segurança do cluster

  • Aumente a segurança dos seus clusters do Google Distributed Cloud.

  • Isole seu tráfego e dados usando uma implantação de cluster de administrador e usuário. Esse tipo de implantação ajuda a conseguir os seguintes tipos de isolamento:

    • O tráfego da carga de trabalho é isolado do tráfego administrativo ou do plano de gerenciamento.
    • O acesso ao cluster é isolado por grupo ou papel.
    • As cargas de trabalho de produção são isoladas das cargas de trabalho de desenvolvimento.

  • Faça upgrade dos clusters para uma versão compatível. O uso de uma versão compatível oferece os seguintes benefícios de segurança:

    • Correções de vulnerabilidades de segurança.
    • Novos recursos e funções que aproveitam as tecnologias e a postura de segurança mais recentes.
    • Atualizações para pacotes de software e componentes.

  • Para reduzir a exposição externa e outros benefícios de segurança, é possível configurar um espelho de registro para instalar componentes do Google Distributed Cloud em uma cópia local do registro público.

  • O cluster etcd do Google Distributed Cloud (somente software) criptografa secrets no etcd usando EncryptionConfiguration com AES-CBC. Não é possível modificar essa configuração. Os valores são criptografados com criptografia estática, e o Google Distributed Cloud (somente software) usa mTLS para criptografar a comunicação entre o etcd e o servidor de API e entre os peers do etcd. Para mais informações sobre o etcd e a criptografia, consulte Criptografar dados confidenciais em repouso.

Segurança de cargas de trabalho

Segurança de rede

Segurança da autenticação

  • Gerencie a identidade com o serviço de identidade do GKE. O Serviço de Identidade do GKE é um serviço de autenticação que permite levar suas soluções de identidade atuais para autenticação em vários ambientes doGoogle Cloud . Você pode fazer login e usar os clusters da Google Distributed Cloud pela linha de comando (todos os provedores) ou pelo console Google Cloud (somente OIDC), usando seu provedor de identidade atual.

  • Conecte-se a clusters registrados com o gateway do Connect. O gateway do Connect se baseia no poder das frotas para permitir que os usuários se conectem e executem comandos nos clusters registrados de maneira consistente e segura.

Segurança de credenciais

  • Rotacionar autoridades certificadoras O Google Distributed Cloud usa certificados e chaves privadas para autenticar e criptografar conexões entre componentes do sistema em clusters. Para manter a comunicação segura no cluster, rotacione as autoridades certificadoras do cluster de usuário periodicamente e sempre que houver uma possível violação de segurança.

  • Alterne as chaves da conta de serviço. Para reduzir o risco de segurança causado por chaves vazadas, recomendamos alternar as chaves regularmente.

Monitoramento da sua segurança

Para mais informações sobre como monitorar a segurança do cluster, consulte Monitorar a postura de segurança da frota.