Contrôler l'admission des charges de travail privilégiées en mode Autopilot

Vous pouvez exécuter des charges de travail privilégiées dans le mode Autopilot de Google Kubernetes Engine (GKE) en installant des listes d'autorisation pour ces charges de travail dans vos clusters. Ce document vous explique comment effectuer les tâches suivantes :

  • Configurez GKE pour qu'il n'exécute que des charges de travail privilégiées spécifiques en mode Autopilot.
  • Installez des listes d'autorisation pour les charges de travail privilégiées.

Ce document est destiné aux types de rôles suivants :

  • Les ingénieurs en sécurité qui souhaitent s'assurer que les charges de travail tierces ont besoin d'une liste d'autorisation pour s'exécuter sur vos clusters et qu'elles proviennent de sources approuvées par GKE.
  • Les ingénieurs de plate-forme qui souhaitent activer des charges de travail tierces sur des clusters pour débloquer les équipes d'application.

Vous devez déjà connaître les concepts suivants :

À propos des charges de travail privilégiées dans Autopilot

Le mode Autopilot applique un ensemble de contraintes par défaut aux charges de travail pour améliorer votre stratégie de sécurité. Vous pouvez modifier ces contraintes pour exécuter des charges de travail privilégiées spécifiques en installant des listes d'autorisation correspondant à ces charges de travail. Par défaut, Autopilot vous permet d'installer des listes d'autorisation de partenaires Autopilot et de projets Open Source spécifiques. Les clients GKE éligibles peuvent également créer des listes d'autorisation pour les charges de travail privilégiées appartenant au client qu'ils importent dans des buckets Cloud Storage.

Chaque liste d'autorisation est un fichier qui correspond à une charge de travail privilégiée spécifique. Pour exécuter une charge de travail privilégiée, procédez comme suit :

  1. Configurez le cluster pour autoriser l'installation de listes d'autorisation à partir de chemins d'accès spécifiques. Par défaut, toutes les listes d'autorisation des partenaires Autopilot et des projets Open Source approuvés sont acceptées.
  2. Créez un AllowlistSynchronizer dans le cluster qui installe la liste d'autorisation et la maintient à jour.

Bugs et demandes de fonctionnalités pour les charges de travail privilégiées et les listes d'autorisation

Le propriétaire d'une charge de travail privilégiée est responsable de la création, du développement et de la maintenance de ses charges de travail et de ses listes d'autorisation. Si vous rencontrez un bug ou si vous souhaitez demander une fonctionnalité pour une charge de travail privilégiée ou une liste d'autorisation, contactez le propriétaire correspondant.

Avant de commencer

Avant de commencer, effectuez les tâches suivantes :

  • Activez l'API Google Kubernetes Engine.
    • Activer l'API Google Kubernetes Engine
  • Pour utiliser la Google Cloud CLI pour cette tâche, installez puis initialisez la gcloud CLI. Si vous avez déjà installé la gcloud CLI, obtenez la dernière version en exécutant la commande gcloud components update. Il est possible que les versions antérieures de la gcloud CLI ne permettent pas d'exécuter les commandes de ce document.

Conditions requises

  • La ressource personnalisée AllowlistSynchronizer nécessite GKE version 1.32.2-gke.1652000 ou ultérieure.
  • Vous devez savoir quelle charge de travail privilégiée vous souhaitez exécuter dans votre cluster.
  • Pour modifier la configuration du chemin d'accès de la liste d'autorisation d'un cluster, celui-ci doit exécuter GKE 1.35 ou une version ultérieure.

Configurer des chemins d'accès de liste d'autorisation pour un cluster

Cette section explique comment configurer un cluster pour permettre l'installation de listes d'autorisation à partir d'un ensemble de chemins d'accès approuvés. Par défaut, Autopilot accepte l'installation de listes d'autorisation provenant de partenaires GKE et de projets Open Source approuvés. Vous pouvez modifier cette configuration par défaut pour des clusters individuels. Vous pouvez également spécifier des sources de liste d'autorisation approuvées pour l'ensemble d'une organisation, d'un dossier ou d'un projet à l'aide d'une règle d'administration.

  1. Identifiez les chemins d'accès aux fichiers de liste d'autorisation à ajouter au cluster. Vous pouvez spécifier plusieurs chemins d'accès lorsque vous créez ou mettez à jour votre cluster. Vous pouvez également désactiver l'installation de la liste d'autorisation à partir de n'importe quelle source en spécifiant une chaîne vide au lieu d'un chemin d'accès. Pour en savoir plus sur les chemins d'accès que vous pouvez spécifier, consultez Chemins d'accès de la liste d'autorisation.

  2. Pour contrôler les sources de la liste d'autorisation approuvées pour un cluster, utilisez l'option --autopilot-privileged-admission lorsque vous créez ou mettez à jour un cluster Autopilot ou Standard, comme dans la commande suivante :

    gcloud container clusters create-auto CLUSTER_NAME \
    --location=LOCATION \
    --autopilot-privileged-admission=ALLOWLIST1_PATH,ALLOWLIST2_PATH,...

    Remplacez les éléments suivants :

    • CLUSTER_NAME : nom de votre nouveau cluster.
    • LOCATION : emplacement du plan de contrôle du cluster, par exemple us-central1.

    • ALLOWLIST1_PATH,ALLOWLIST2_PATH,... : liste de chemins d'accès aux fichiers ou répertoires de la liste d'autorisation, séparés par une virgule. Exemple : gke://*,gs://my-agent/privileged-logging-agent.yaml. Vous pouvez également désactiver l'installation de la liste d'autorisation à partir de n'importe quelle source en spécifiant une chaîne vide ("").

Si vous mettez à jour un cluster existant sans spécifier l'option --autopilot-privileged-admission, la configuration de chemin d'accès existante pour ce cluster ne change pas. Vous n'avez pas besoin de spécifier cette option chaque fois que vous mettez à jour un cluster.

Une fois l'opération de création ou de mise à jour du cluster terminée, vous pouvez installer des listes d'autorisation à partir des chemins d'accès spécifiés en créant des AllowlistSynchronizers.

Créer un AllowlistSynchronizer

Pour exécuter une charge de travail privilégiée, vous devez ajouter le chemin d'accès au fichier de liste d'autorisation correspondant à une spécification AllowlistSynchronizer dans un fichier YAML. Vous déployez ensuite AllowlistSynchronizer sur votre cluster.

  1. Dans un éditeur de texte, créez un fichier YAML.

  2. Ajoutez le contenu suivant au fichier YAML :

    apiVersion: auto.gke.io/v1
kind: AllowlistSynchronizer
metadata:
  name: ALLOWLIST_SYNCHRONIZER_NAME
spec:
  allowlistPaths:
  - ALLOWLIST1_PATH
  - ALLOWLIST2_PATH

    Remplacez les éléments suivants :

    • ALLOWLIST_SYNCHRONIZER_NAME : nom du nouveau synchronisateur. Choisissez un nom descriptif qui identifie la charge de travail ou l'équipe compatible avec la liste d'autorisation.

    • ALLOWLIST1_PATH, ALLOWLIST2_PATH, ... : liste des chemins d'accès aux fichiers ou répertoires de la liste d'autorisation que vous souhaitez installer, comme dans l'exemple suivant pour les listes d'autorisation approuvées par GKE :

      allowlistPaths:
- Gke-Org/accelerators/*
- Wiz/wiz-sensor/v1/wiz-sensor-v1.yaml

      Ou dans l'exemple suivant pour les listes d'autorisation appartenant au client :

      allowlistPaths:
- my-agent/log-collector/*
- my-agent/privileged-logging-agent.yaml

      La configuration du cluster doit être compatible avec les chemins d'accès que vous spécifiez, comme décrit dans la section Configurer les chemins d'accès de la liste d'autorisation pour un cluster. De plus, chaque AllowlistSynchronizer doit contenir exclusivement des listes d'autorisation approuvées par GKE ou exclusivement des listes d'autorisation appartenant au client.

  3. Si vous installez des listes d'autorisation à partir d'un bucket Cloud Storage appartenant au client, ajoutez les champs spec.projectNumber et spec.bucketName à votre AllowlistSynchronizer. Pour en savoir plus, consultez la CustomResourceDefinition AllowlistSynchronizer.

  4. Déployez le fichier YAML sur votre cluster :

    kubectl apply -f PATH_TO_YAML_FILE

    Remplacez PATH_TO_YAML_FILE par le chemin d'accès au fichier YAML que vous avez créé à l'étape précédente.

    Le contrôleur AllowlistSynchronizer installe les fichiers de liste d'autorisation à partir des chemins d'accès spécifiés dans votre cluster.

  5. Attendez que le synchronisateur indique l'état Ready :

    kubectl wait --for=condition=Ready allowlistsynchronizer/ALLOWLIST_SYNCHRONIZER_NAME \
    --timeout=60s

Vous pouvez également intégrer l'installation de la liste d'autorisation et le déploiement de charges de travail privilégiées dans votre pipeline d'intégration et de déploiement continus (CI/CD). Configurez votre workflow pour qu'il attende que la liste d'autorisation s'installe correctement avant de déployer la charge de travail correspondante.

Mettre à jour un AllowlistSynchronizer existant

Vous pouvez mettre à jour un AllowlistSynchronizer existant pour ajouter ou supprimer des fichiers de liste d'autorisation. Vous pouvez mettre à jour les synchronisateurs existants dans les situations suivantes :

  • Le propriétaire de la charge de travail ajoute un nouveau fichier de liste d'autorisation portant un nom différent.
  • Vous souhaitez ajouter une nouvelle liste d'autorisation de charge de travail à un synchronisateur existant qui regroupe les listes d'autorisation associées.
  • Vous souhaitez supprimer une liste d'autorisation d'un synchronisateur, car vous ne souhaitez plus utiliser la charge de travail correspondante.

Pour mettre à jour un objet AllowlistSynchronizer existant, procédez comme suit :

  1. Répertoriez les synchroniseurs existants dans votre cluster :

    kubectl get allowlistsynchronizer

  2. Ouvrez la spécification du synchronisateur que vous souhaitez mettre à jour dans un éditeur de texte.

  3. Mettez à jour le champ spec.allowlistPaths pour ajouter, modifier ou supprimer des chemins d'accès aux fichiers de la liste d'autorisation.

  4. Enregistrez et fermez l'éditeur de texte.

  5. Appliquez la configuration mise à jour au cluster :

    kubectl apply -f PATH_TO_YAML_FILE

    Remplacez PATH_TO_YAML_FILE par le chemin d'accès au fichier YAML que vous avez mis à jour à l'étape précédente.

Lorsque vous déployez une configuration de synchroniseur mise à jour, le champ managedAllowlistStatus.generation de l'état de l'objet AllowlistSynchronizer est incrémenté de un. Le contrôleur AllowlistSynchronizer applique ensuite vos modifications.

Surveiller l'état de la synchronisation de la liste d'autorisation

Après avoir installé un AllowlistSynchronizer ou mis à jour un synchroniseur existant, vous pouvez surveiller l'état de la synchronisation. L'état vous aide à suivre l'installation, la suppression ou la modification des fichiers de liste d'autorisation, ainsi que les erreurs qui peuvent se produire.

Pour surveiller l'état général de la synchronisation, exécutez la commande suivante :

kubectl get allowlistsynchronizer ALLOWLIST_SYNCHRONIZER_NAME -o yaml

Le résultat ressemble à ce qui suit :

...
status:
  conditions:
  - type: Ready
    status: "False"
    reason: "SyncError"
    message: "some allowlists failed to sync: example-allowlist-1.yaml"
    lastTransitionTime: "2024-10-12T10:00:00Z"
    observedGeneration: 2
  managedAllowlistStatus:
    - filePath: "gs://path/to/example-allowlist-2.yaml"
      generation: 1
      phase: Installed
      lastSuccessfulSync: "2024-10-10T10:00:00Z"
    - filePath: "gs://path/to/example-allowlist-1.yaml"
      phase: Failed
      lastError: "Initial install failed: invalid contents"
      lastSuccessfulSync: "2024-10-08T10:00:00Z"

Dans cet exemple de résultat, la synchronisation de la liste d'autorisation example-allowlist-1.yaml a échoué, et la liste d'autorisation example-allowlist-2.yaml a bien été installée. Pour obtenir une description de ces champs, consultez État d'AllowlistSynchronizer.

Vérifier qu'une liste d'autorisation existe dans votre cluster

Pour vérifier qu'une liste d'autorisation existe dans votre cluster, exécutez la commande suivante :

kubectl get workloadallowlist

Le résultat est une liste des listes d'autorisation installées dans le cluster. Vérifiez que le résultat inclut la liste d'autorisation que vous souhaitez utiliser.

Déployer la charge de travail privilégiée

Une fois qu'une liste d'autorisation est installée, vous pouvez déployer la charge de travail correspondante dans votre cluster. Le propriétaire de la charge de travail doit également vous fournir des instructions d'installation pour la charge de travail. Pour obtenir la liste des partenaires Autopilot et des liens vers leur documentation, consultez Partenaires Autopilot.

Utiliser des dépôts d'images miroirs privés

Vous pouvez mettre en miroir les images de conteneurs des charges de travail privilégiées dans des dépôts privés qui vous appartiennent. Pour exécuter ces images dupliquées dans une charge de travail, vous devez remplir toutes les conditions suivantes :

  • Le condensé SHA-256 de l'image dupliquée doit correspondre au condensé d'image de la charge de travail accessible au public.
  • Le condensé d'image SHA-256 que vous spécifiez doit exister dans l'objet WorkloadAllowlist synchronisé avec votre cluster.

Si la charge de travail est compatible avec les images dupliquées, la spécification de la liste d'autorisation pour cette charge de travail contient une liste de condensés d'images dans le champ containers.imageDigests de la spécification de la liste d'autorisation pour cette charge de travail. En règle générale, ce champ comporte un condensé distinct pour chaque version disponible de l'image de conteneur. Pour afficher cette liste de condensés d'images, procédez comme suit :

  1. Vérifiez que la liste d'autorisation existe dans votre cluster.

  2. Obtenez la spécification de la liste d'autorisation installée :

    kubectl get workloadallowlist ALLOWLIST_NAME -o yaml

    Remplacez ALLOWLIST_NAME par le nom de la liste d'autorisation installée. Exemple :company-name-solution-v1.0.0

    Pour les charges de travail compatibles avec cette fonctionnalité, le résultat ressemble à ce qui suit. Le champ imageDigests contient une liste de condensés autorisés.

    # lines omitted for clarity
- containerName: pause-container1
  imageDigests:
  - cb5c1bddd1b5665e1867a7fa1b5fa843a47ee433bbb75d4293888b71def53229
  - 932ea160d395f3d7f76c0c17a52a63c4cfe1836a900f1058b6bc20b16fd10d23

    Si le résultat n'inclut pas de champ imageDigests ou si le condensé de la version que vous souhaitez utiliser ne figure pas dans la liste, contactez directement le propriétaire de la charge de travail et demandez-lui de mettre à jour sa liste d'autorisation. Une fois que le propriétaire de la charge de travail a ajouté des condensés d'images à sa liste d'autorisation, le synchroniseur de liste d'autorisation de votre cluster installe automatiquement la liste d'autorisation mise à jour.

  3. Ajoutez l'un des condensés d'image compatibles au fichier manifeste de votre charge de travail.

Par exemple, considérons l'image suivante dans la spécification de pod accessible au public d'un partenaire :

...
  containers:
  - name: pause-container1
    image: partner-repo/pause1@sha256:cb5c1bddd1b5665e1867a7fa1b5fa843a47ee433bbb75d4293888b71def53229
    securityContext:
      privileged: true

Vous pouvez utiliser une image dupliquée si le condensé correspond au condensé disponible publiquement, comme dans l'exemple suivant :

...
  containers:
  - name: pause-container1
    image: my-private-repo/pause1@sha256:cb5c1bddd1b5665e1867a7fa1b5fa843a47ee433bbb75d4293888b71def53229
    securityContext:
      privileged: true

Vous devez inclure le condensé SHA-256 dans le champ de votre image, comme dans l'exemple précédent. Si les condensés ne correspondent pas, l'image dupliquée ne s'exécutera pas. Pour conserver les condensés d'images lorsque vous dupliquez des images partenaires, envisagez d'utiliser un outil tel que crane, ORAS ou skopeo.

Supprimer une charge de travail privilégiée

Pour ne plus autoriser l'exécution d'une charge de travail privilégiée dans vos clusters, supprimez le chemin d'accès à la liste d'autorisation correspondante de votre AllowlistSynchronizer. Le synchronisateur désinstalle la liste d'autorisation.

Si vous supprimez un objet WorkloadAllowlist de votre cluster au lieu de mettre à jour le synchronisateur, celui-ci réinstalle la liste d'autorisation. Assurez-vous de supprimer le chemin d'accès d'AllowlistSynchronizer.

Pour désinstaller une liste d'autorisation, procédez comme suit :

  1. Dans le fichier manifeste YAML de l'objet AllowlistSynchronizer qui gère la liste d'autorisation, supprimez le chemin d'accès à la liste d'autorisation que vous souhaitez désinstaller. Pour obtenir des instructions, consultez la section Mettre à jour un AllowlistSynchronizer existant.

  2. Pour vérifier que la liste d'autorisation a été désinstallée, obtenez la liste des objets WorkloadAllowlist de votre cluster :

    kubectl get workloadallowlist

    Dans le résultat, vérifiez que la liste d'autorisation que vous vouliez supprimer n'apparaît pas.

  3. Supprimez la charge de travail de votre cluster. Pour obtenir des instructions, consultez la documentation du fournisseur de la charge de travail.

Empêcher l'installation de listes d'autorisation dans vos clusters

Pour empêcher l'installation de listes d'autorisation de charges de travail privilégiées dans des clusters spécifiques, spécifiez une chaîne vide ("") dans l'option --autopilot-privileged-admission lorsque vous créez ou mettez à jour un cluster.

  • Pour désactiver des chemins d'accès de liste d'autorisation spécifiques pour un cluster, omettez les chemins d'accès à ces listes d'autorisation lorsque vous créez ou mettez à jour un cluster :

    gcloud container clusters update CLUSTER_NAME \
    --location=LOCATION \
    --autopilot-privileged-admission=ALLOWLIST1_PATH,ALLOWLIST2_PATH,...

    Remplacez ALLOWLIST1_PATH,ALLOWLIST2_PATH,... par une liste de chemins d'accès aux sources de la liste d'autorisation, séparés par une virgule. Omettez les chemins d'accès que vous souhaitez désactiver.

  • Pour désactiver toutes les listes d'autorisation dans un cluster existant, spécifiez une chaîne vide comme chemin d'accès approuvé :

    gcloud container clusters update CLUSTER_NAME \
    --location=LOCATION \
    --autopilot-allowlist-paths=""

Résoudre les problèmes

Si la synchronisation ou le déploiement de la charge de travail échouent, consultez Résoudre les problèmes de déploiement des charges de travail Autopilot privilégiées.

Étapes suivantes