הפעלה והגדרה של OS Login ב-GKE

Standard

בדף הזה מוסבר איך להפעיל את OS Login ואיך להגדיר מדיניות ארגונית כדי לאכוף את השימוש ב-OS Login באשכולות ובצמתים של GKE במצב רגיל. אתם יכולים להשתמש ב-OS Login כדי לנהל את גישת ה-SSH למכונות באמצעות IAM, בלי שתצטרכו ליצור ולנהל מפתחות SSH נפרדים.

התכונה OS Login לא זמינה באשכולות במצב GKE Autopilot כי GKE מנהל את הצמתים.

הדף הזה מיועד למומחי אבטחה שרוצים להוסיף מדיניות OS Login באשכולות GKE Standard כדי לוודא שכל מופעי מכונות וירטואליות (VM) כוללים OS Login כברירת מחדל. כדי לקבל מידע נוסף על תפקידים נפוצים ומשימות לדוגמה שאנחנו מתייחסים אליהם ב Google Cloud תוכן, אפשר לעיין במאמר תפקידים נפוצים של משתמשי GKE ומשימות.

לפני שקוראים את הדף הזה, חשוב לוודא שמכירים את הסקירה הכללית על OS Login.

סקירה כללית

אתם יכולים להגדיר אילוץ OS Login בארגון כדי לוודא שבכל הפרויקטים החדשים ובמכונות הווירטואליות שנוצרו בפרויקטים האלה, השירות OS Login מופעל. OS Login הפך במהירות לGoogle Cloud שיטה מומלצת לאבטחה, ומומלץ לאכוף את השימוש בו באמצעות כלל מדיניות של הארגון.

בהוראות הבאות מוסבר איך להפעיל את OS Login באמצעות מדיניות ארגונית ב-GKE.

לפני שמתחילים

לפני שמתחילים, חשוב לוודא שביצעתם את המשימות הבאות:

• מפעילים את Google Kubernetes Engine API.
הפעלת Google Kubernetes Engine API
• כדי להשתמש ב-Google Cloud CLI למשימה הזו, מתקינים ואז מאתחלים את ה-CLI של gcloud. אם התקנתם בעבר את ה-CLI של gcloud, מריצים את הפקודה gcloud components update כדי לקבל את הגרסה העדכנית. יכול להיות שגרסאות קודמות של ה-CLI של gcloud לא יתמכו בהרצת הפקודות שמופיעות במסמך הזה.
  הערה: אם ה-CLI של gcloud כבר מותקן, צריך להגדיר את המאפיין compute/region. אם אתם משתמשים בעיקר באשכולות אזוריים, צריך להגדיר את compute/zone במקום זאת. אם מגדירים מיקום ברירת מחדל, אפשר להימנע משגיאות ב-CLI של gcloud כמו השגיאה הבאה: One of [--zone, --region] must be supplied: Please specify location. יכול להיות שתצטרכו לציין את המיקום בפקודות מסוימות אם המיקום של האשכול שונה מברירת המחדל שהגדרתם.

עדכון פרויקטים קיימים לשימוש ב-OS Login

לפני שמגדירים את מדיניות הארגון, צריך להעביר את כל האשכולות הקיימים לשימוש ב-OS Login.

• כדי להפעיל את OS Login בכל המכונות הווירטואליות הקיימות והחדשות כברירת מחדל, מגדירים את הדגל enable-oslogin לערך TRUE. לא צריך להפעיל מחדש את הצומת.

  gcloud compute project-info add-metadata --metadata enable-oslogin=TRUE
  

  שימו לב: הפעלת OS Login במופעים משביתה את ההגדרות של מפתחות SSH שמבוססים על מטא-נתונים במופעים האלה. השבתה של OS Login משחזרת מפתחות SSH שהגדרתם במטא-נתונים של הפרויקט או המכונה.

הגדרת מדיניות הארגון של OS Login

כדי להגדיר את האילוץ של OS Login ברמת הארגון:

1. מריצים את הפקודה הבאה כדי למצוא את מזהה הארגון:

   gcloud organizations list
   

2. מגדירים את מדיניות הארגון של OS Login. מחליפים את ORGANIZATION_ID במזהה הארגון.

   gcloud resource-manager org-policies enable-enforce \
       compute.requireOsLogin \
       --organization=ORGANIZATION_ID
   

אחרי שמגדירים את מדיניות הארגון, התנאים הבאים חלים:

• הערך של enable-oslogin מוגדר ל-true במטא-נתונים של הפרויקט בכל הפרויקטים החדשים.
• בקשות עדכון להגדרת enable-oslogin לערך false במטא-נתונים של המכונה או הפרויקט נדחות.

ניהול הגישה לצומת

אחרי שמפעילים את מדיניות הארגון OS Login, כבר לא צריך לנהל מפתחות SSH כדי לקבל החלטות לגבי הרשאות. התכונה OS Login מעבירה את ניהול ההרשאות לניהול זהויות והרשאות גישה (IAM). כדי לנהל את הגישה של SSH לצמתים, צריך להשתמש ב-OS Login. מידע נוסף זמין במאמר הגדרת OS Login.

המאמרים הבאים

• מידע על שירות OS Login
• פתרון בעיות ב-OS Login