您可以套用 Kubernetes 和 Google Kubernetes Engine (GKE) 的概念，以及平台專屬的控制項，為 Google Distributed Cloud 建立安全性做法。這些建議可協助您在實體硬體、節點、叢集網路和工作負載中，建立基礎資安態勢。
Kubernetes 安全性
使用 Google Distributed Cloud 時，建議您遵循 Kubernetes 的一般安全性指南。
如需 Kubernetes 安全性指南簡介，請參閱 Kubernetes 說明文件中的安全性檢查清單和雲端原生安全性總覽。
GKE 安全性
Google Distributed Cloud 會擴大 GKE 的使用範圍，讓您在自己的地端部署 Linux 伺服器建立 GKE 叢集。如要進一步瞭解 GKE 安全性，請參閱「GKE 安全性總覽」。閱讀時，請注意，由於控制層和節點是在地端部署環境中執行，因此控制層安全性和節點安全性的建議不適用。
Google Distributed Cloud 安全性
下列各節提供相關指引，協助您為 Google Distributed Cloud 建立良好的安全性做法。
硬體安全
採用業界標準的實體安全防護功能，保護地端部署資料中心。
請務必嚴格限制管理員工作站的存取權。管理員工作站會儲存機密資料，例如
kubeconfig檔案、安全殼層金鑰和服務帳戶金鑰。
節點安全性
更新軟體套件並安裝安全性修補程式，讓作業系統保持最新狀態。
如要進一步控管工作負載映像檔提取作業，並享有相關安全性優勢，您可以設定 worker 節點向私人登錄檔進行驗證。節點的私人登錄資料庫支援功能，適用於 1.29 版叢集的預先發布版。
根據預設，Google Distributed Cloud 會將 Docker
apt存放區和所需的 GPG 金鑰新增至叢集節點。除了在部署作業中為每個叢集節點新增 Package Repository，您也可以將叢集設為使用私人 Package Repository 存放容器映像檔。
叢集安全性
使用管理員和使用者叢集部署作業，隔離流量和資料。這種部署類型可協助您達成下列類型的隔離：
- 工作負載流量與管理層流量會相互隔離。
- 叢集存取權會依群組或角色區隔。
- 正式環境工作負載與開發工作負載相互隔離。
將叢集升級至支援的版本。使用支援的版本可享有下列安全性優勢：
- 修正安全漏洞。
- 新功能和函式，可充分運用最新的資安態勢和技術。
- 更新隨附軟體和元件。
如要減少外部曝光並享有其他安全性優勢，可以設定登錄檔鏡像，從公開登錄檔的本機副本安裝 Google Distributed Cloud 元件。
Distributed Cloud 軟體專用的 etcd 叢集只會使用
EncryptionConfiguration搭配 AES-CBC 加密 etcd 中的 Secret。您無法修改這項設定。值會以靜態加密方式加密，且 Distributed Cloud 軟體只會使用 mTLS 加密 etcd 與 API 伺服器之間，以及 etcd 對等互連之間的通訊。如要進一步瞭解 etcd 和加密，請參閱「加密靜態機密資料」。
工作負載安全防護
使用二進位授權保護工作負載。二進位授權是 Google Cloud 中的一項服務，可為在雲端執行的應用程式提供軟體供應鏈安全防護。有了二進位授權，您就能確保保護軟體品質和完整性的內部程序已成功完成，再將應用程式部署至正式環境。
使用 Workload Identity Federation for GKE，授予 Pod 存取 Google Cloud 資源的權限。Workload Identity Federation for GKE 可讓 Kubernetes 服務帳戶以 IAM 服務帳戶的身分執行。以 Kubernetes 服務帳戶身分執行的 Pod 具備 IAM 服務帳戶的權限。
網路安全
選擇 Google Distributed Cloud 與Google Cloud之間的安全連線。建立基本連線後，請新增可強化連線安全性的功能。
在 Proxy 後方安裝叢集並建立防火牆規則，限制叢集公開至網際網路。此外，請在網路環境中使用適當的控制項，限制對叢集的公開存取權。
驗證安全性
使用 GKE 身分認證服務管理身分。GKE 身分認證服務是一項驗證服務，可讓您在多個Google Cloud 環境使用現有的身分識別解決方案進行驗證。您可以透過指令列 (所有供應商) 或 Google Cloud 控制台 (僅限 OIDC)，使用現有的識別資訊提供者登入及使用 Google Distributed Cloud 叢集。
使用 Connect 閘道連線至已註冊的叢集。Connect 閘道以機群功能為基礎，可讓使用者以一致且安全的方式，連線至已註冊的叢集並執行指令。
憑證安全
輪換憑證授權單位。Google Distributed Cloud 會使用憑證和私密金鑰，驗證及加密叢集內系統元件之間的連線。為維護叢集通訊安全，請定期輪替使用者叢集憑證授權單位，並在可能發生安全性漏洞時進行輪替。
輪替服務帳戶金鑰。為降低金鑰外洩造成的安全風險，建議您定期輪替服務金鑰。
監控安全性
- 使用 Kubernetes 稽核記錄。管理員可透過稽核記錄，保留、查詢、處理 Google Distributed Cloud 環境中發生的事件，並接收相關警告。
如要進一步瞭解如何監控叢集安全性，請參閱「監控機群資安態勢」。