Use restrições de políticas de reforço do Kubernetes da NSA CISA

O Policy Controller inclui uma biblioteca predefinida de modelos de restrições que podem ser usados com o pacote de políticas do guia de reforço do Kubernetes v1.2 da National Security Agency (NSA) Cybersecurity and Infrastructure Security Agency (CISA) para avaliar a conformidade dos recursos do cluster com alguns aspetos do guia de reforço do Kubernetes v1.2 da NSA CISA.

Esta página contém instruções para aplicar manualmente um pacote de políticas. Em alternativa, pode aplicar pacotes de políticas diretamente.

Aviso: depois de escolher um método para aplicar pacotes de políticas (manual, CLI gcloud ou Google Cloud consola), a utilização de um método diferente para instalar pacotes de políticas pode causar erros no seu ambiente.

Esta página destina-se a administradores de TI e operadores que querem garantir que todos os recursos executados na plataforma de nuvem cumprem os requisitos de conformidade da organização, fornecendo e mantendo a automatização para auditar ou aplicar. Para saber mais sobre as funções comuns e as tarefas de exemplo a que fazemos referência no Google Cloud conteúdo, consulte o artigo Funções e tarefas comuns de utilizadores do GKE.

Restrições do pacote de políticas de fortalecimento do Kubernetes v1.2 da NSA CISA

Nome da restrição	Descrição da restrição
nsa-cisa-k8s-v1.2-apparmor	Restringe o perfil do `AppArmor` para pods.
nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod	Restringe a utilização de `automountServiceAccountToken` por parte dos pods.
nsa-cisa-k8s-v1.2-block-all-ingress	Restringe a criação de objetos `Ingress`.
nsa-cisa-k8s-v1.2-block-secrets-of-type-basic-auth	Restringe a utilização de segredos do tipo `kubernetes.io/basic-auth`.
nsa-cisa-k8s-v1.2-capabilities	Os contentores têm de eliminar todas as capacidades e não podem adicionar novamente nenhuma capacidade.
nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required	Todos os pods de carga de trabalho têm de especificar limites de `cpu` e `memory`.
nsa-cisa-k8s-v1.2-host-namespaces	Restringe contentores com `hostPID` ou `hostIPC` definidos como `true`.
nsa-cisa-k8s-v1.2-host-namespaces-hostnetwork	A partilha dos espaços de nomes do anfitrião tem de ser proibida.
nsa-cisa-k8s-v1.2-host-network	Restringe a execução de contentores com a flag `hostNetwork` definida como `true`.
nsa-cisa-k8s-v1.2-hostport	Restringe a execução de contentores com `hostPort` configurado.
nsa-cisa-k8s-v1.2-privilege-escalation	Restringe contentores com `allowPrivilegeEscalation` definido como `true`.
nsa-cisa-k8s-v1.2-privileged-containers	Restringe contentores com `securityContext.privileged` definido como `true`.
nsa-cisa-k8s-v1.2-readonlyrootfilesystem	Requer a utilização de um sistema de ficheiros raiz só de leitura por contentores de agrupamentos.
nsa-cisa-k8s-v1.2-require-namespace-network-policies	Requer que todos os espaços de nomes definidos no cluster tenham uma `NetworkPolicy`.
nsa-cisa-k8s-v1.2-restrict-clusteradmin-rolebindings	Restringe a utilização da função `cluster-admin`.
nsa-cisa-k8s-v1.2-restrict-edit-rolebindings	Restringe a utilização da função `edit`.
nsa-cisa-k8s-v1.2-restrict-hostpath-volumes	Restringe a utilização de volumes `HostPath`.
nsa-cisa-k8s-v1.2-restrict-pods-exec	Restringe a utilização de `pods/exec` em `Roles` e `ClusterRoles`.
nsa-cisa-k8s-v1.2-running-as-non-root	Impede que os contentores sejam executados como utilizador root.
nsa-cisa-k8s-v1.2-seccomp	O perfil do Seccomp não pode ser explicitamente definido como "Unconfined".
nsa-cisa-k8s-v1.2-selinux	Não é possível definir o tipo SELinux nem definir uma opção de utilizador ou função SELinux personalizada.

Antes de começar

1. Instale e inicialize a CLI Google Cloud, que fornece os comandos gcloud e kubectl usados nestas instruções. Se usar o Cloud Shell, a CLI do Google Cloud é pré-instalada.
2. Instale o Policy Controller no seu cluster com a biblioteca predefinida de modelos de restrições. Também tem de ativar o suporte para restrições referenciais, uma vez que este pacote contém restrições referenciais.

Configure o Policy Controller para restrições referenciais

Aviso: pode substituir as suas alterações. Se já tiver um Config no espaço de nomes gatekeeper-system, tem de incluir todas as definições de personalização anteriores para preservar as alterações.

1. Guarde o seguinte manifesto YAML num ficheiro como policycontroller-config.yaml. O manifesto configura o Policy Controller para monitorizar tipos específicos de objetos.

   apiVersion: config.gatekeeper.sh/v1alpha1
   kind: Config
   metadata:
     name: config
     namespace: "gatekeeper-system"
   spec:
     sync:
       syncOnly:
         - group: "networking.k8s.io"
           version: "v1"
           kind: "NetworkPolicy"
   

2. Aplique o manifesto policycontroller-config.yaml:

   kubectl apply -f policycontroller-config.yaml
   

Audite o pacote de políticas de fortalecimento do Kubernetes da NSA CISA v1.2

O Policy Controller permite-lhe aplicar políticas ao seu cluster do Kubernetes. Para ajudar a testar as suas cargas de trabalho e a respetiva conformidade relativamente às políticas do guia de reforço do Kubernetes v1.2 da NSA CISA descritas na tabela anterior, pode implementar estas restrições no modo "auditoria" para revelar violações e, mais importante, dar-se a oportunidade de as corrigir antes de aplicar opcionalmente no seu cluster do Kubernetes.

Pode aplicar estas políticas com spec.enforcementAction definido como dryrun através de kubectl, kpt ou Config Sync .

kubectl

1. (Opcional) Pré-visualize as restrições de políticas com o kubectl:

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2
   

2. Aplique as restrições de políticas com o kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2
   

   O resultado é o seguinte:

   k8sblockallingress.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-all-ingress created
   k8sblockobjectsoftype.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-secrets-of-type-basic-auth created
   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privilege-escalation created
   k8spspallowedusers.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-running-as-non-root created
   k8spspapparmor.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-apparmor created
   k8spspautomountserviceaccounttokenpod.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod created
   k8spspcapabilities.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-capabilities created
   k8spsphostfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-hostpath-volumes created
   k8spsphostnamespace.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-namespaces created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-network created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-hostport created
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privileged-containers created
   k8spspreadonlyrootfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-readonlyrootfilesystem created
   k8spspselinuxv2.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-selinux created
   k8spspseccomp.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-seccomp created
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-require-namespace-network-policies created
   k8srequiredresources.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required created
   k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-clusteradmin-rolebindings created
   k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-edit-rolebindings created
   k8srestrictrolerules.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-pods-exec created
   

3. Confirme se as restrições de políticas foram instaladas e verifique se existem violações no cluster:

   kubectl get constraints -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2
   

   O resultado é semelhante ao seguinte:

   NAME                                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockallingress.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-all-ingress   dryrun               0
   
   NAME                                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockobjectsoftype.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-secrets-of-type-basic-auth   dryrun               0
   
   NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspallowedusers.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-running-as-non-root   dryrun               0
   
   NAME                                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privilege-escalation   dryrun               0
   
   NAME                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspapparmor.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-apparmor   dryrun               0
   
   NAME                                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspautomountserviceaccounttokenpod.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod   dryrun               0
   
   NAME                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspcapabilities.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-capabilities   dryrun               0
   
   NAME                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-hostpath-volumes   dryrun               0
   
   NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnamespace.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-namespaces   dryrun               0
   
   NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-network   dryrun               0
   k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-hostport       dryrun               0
   
   NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privileged-containers   dryrun               0
   
   NAME                                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspreadonlyrootfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-readonlyrootfilesystem   dryrun               0
   
   NAME                                                                ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspseccomp.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-seccomp   dryrun               0
   
   NAME                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspselinuxv2.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-selinux   dryrun               0
   
   NAME                                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredresources.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required   dryrun               0
   
   NAME                                                                                                                ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-require-namespace-network-policies   dryrun               0
   
   NAME                                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-clusteradmin-rolebindings   dryrun               0
   k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-edit-rolebindings           dryrun               0
   
   NAME                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolerules.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-pods-exec   dryrun               0
   

kpt

1. Instale e configure o kpt.

   O kpt é usado nestas instruções para personalizar e implementar recursos do Kubernetes.

2. Transfira o pacote de políticas v1.2 do guia de reforço do Kubernetes da NSA CISA do GitHub através do kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2
   

3. Execute a função set-enforcement-action kpt para definir a ação de aplicação das políticas como dryrun:

   kpt fn eval nsa-cisa-k8s-v1.2 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
   -- enforcementAction=dryrun
   

4. Inicialize o diretório de trabalho com o kpt, que cria um recurso para monitorizar as alterações:

   cd nsa-cisa-k8s-v1.2 kpt live init
   

5. Aplique as restrições de políticas com o kpt:

   kpt live apply
   

6. Confirme se as restrições de políticas foram instaladas e verifique se existem violações no cluster:

   kpt live status --output table --poll-until current
   

   O estado CURRENT confirma a instalação bem-sucedida das restrições.

Config Sync

1. Instale e configure o kpt.

   O kpt é usado nestas instruções para personalizar e implementar recursos do Kubernetes.

   Os operadores que usam o Config Sync para implementar políticas nos respetivos clusters podem usar as seguintes instruções:

2. Altere para o diretório de sincronização do Config Sync:

   cd SYNC_ROOT_DIR
   

   Nota: o Kpt v1.0.0-beta.17 e posterior cria automaticamente um ficheiro resourcegroup.yaml durante a live init, que não deve ser validado no seu repositório do Config Sync. Se ainda não estiver presente, adicione resourcegroup.yaml ao ficheiro .gitignore do repositório.

   Para criar ou acrescentar .gitignore com resourcegroup.yaml:

   echo resourcegroup.yaml >> .gitignore
   

3. Crie um diretório policies dedicado:

   mkdir -p policies
   

4. Transfira o pacote de políticas v1.2 do guia de reforço do Kubernetes da NSA CISA do GitHub através do kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2 policies/nsa-cisa-k8s-v1.2
   

5. Execute a função set-enforcement-action kpt para definir a ação de aplicação das políticas como dryrun:

   kpt fn eval policies/nsa-cisa-k8s-v1.2 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

6. (Opcional) Pré-visualize as restrições de políticas a serem criadas:

   kpt live init policies/nsa-cisa-k8s-v1.2 kpt live apply --dry-run policies/nsa-cisa-k8s-v1.2
   

7. Se o diretório de sincronização do Config Sync usar o Kustomize, adicione policies/nsa-cisa-k8s-v1.2 ao kustomization.yaml raiz. Caso contrário, remova o ficheiro policies/nsa-cisa-k8s-v1.2/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2/kustomization.yaml
   

8. Envie as alterações para o repositório do Config Sync:

   git add SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2 git commit -m 'Adding NSA CISA Kubernetes Hardening v1.2 policy audit enforcement'
   git push
   

9. Valide o estado da instalação:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   O estado SYNCED confirma a instalação das políticas.

Veja as violações de políticas

Depois de instaladas no modo de auditoria, as restrições de políticas no cluster podem ser vistas na IU através do painel de controlo do Policy Controller.

Também pode usar kubectl para ver violações no cluster através do seguinte comando:

  kubectl get constraint -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
  

Se existirem violações, pode ver uma lista das mensagens de violação por restrição com:

  kubectl get constraint -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
  

Altere a ação de aplicação do pacote de políticas de fortalecimento do Kubernetes v1.2 da NSA CISA

Depois de rever as violações de políticas no seu cluster, pode considerar alterar o modo de aplicação para que o controlador de admissão warn permita ou até mesmo deny impeça que o recurso não conforme seja aplicado ao cluster.

Aviso: a ação de aplicação deny deve ser usada com cuidado, pois pode bloquear potencialmente as alterações necessárias, o que resulta na interrupção das cargas de trabalho críticas ou do cluster. Recomendamos vivamente que use apenas as ações de aplicação warn ou dryrun em clusters com cargas de trabalho de produção, quando testar novas restrições ou realizar migrações, como a atualização de plataformas. Para mais informações acerca das ações de aplicação, consulte o artigo Auditoria com restrições.

kubectl

1. Use o kubectl para definir a ação de aplicação das políticas como warn:

   kubectl get constraints -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Verifique se a ação de aplicação das restrições de políticas foi atualizada:

   kubectl get constraints -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2
   

kpt

1. Execute a função set-enforcement-action kpt para definir a ação de aplicação das políticas como warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Aplique as restrições de políticas:

   kpt live apply
   

Config Sync

Os operadores que usam o Config Sync para implementar políticas nos respetivos clusters podem usar as seguintes instruções:

1. Altere para o diretório de sincronização do Config Sync:

   cd SYNC_ROOT_DIR
   

2. Execute a função set-enforcement-action kpt para definir a ação de aplicação das políticas como warn:

   kpt fn eval policies/nsa-cisa-k8s-v1.2 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Envie as alterações para o repositório do Config Sync:

   git add SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2
   git commit -m 'Adding NSA CISA Kubernetes Hardening v1.2 policy warn enforcement'
   git push
   

4. Valide o estado da instalação:

   nomos status
   

   O cluster deve apresentar o estado SYNCED com as políticas instaladas.

Teste a aplicação de políticas

Crie um recurso não compatível no cluster com o seguinte comando:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

O controlador de admissão deve produzir um aviso que liste as violações de políticas que este recurso viola, conforme mostrado no exemplo seguinte:

Warning: [nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod] Automounting service account token is disallowed, pod: wp-non-compliant
Warning: [nsa-cisa-k8s-v1.2-running-as-non-root] Container wordpress is attempting to run without a required securityContext/runAsGroup. Allowed runAsGroup: {"ranges": [{"max": 65536, "min": 1000}], "rule": "MustRunAs"}
Warning: [nsa-cisa-k8s-v1.2-running-as-non-root] Container wordpress is attempting to run without a required securityContext/runAsUser
Warning: [nsa-cisa-k8s-v1.2-privilege-escalation] Privilege escalation container is not allowed: wordpress
Warning: [nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required] container <wordpress> does not have <{"cpu", "memory"}> limits defined
Warning: [nsa-cisa-k8s-v1.2-capabilities] container <wordpress> is not dropping all required capabilities. Container must drop all of ["ALL"] or "ALL"
Warning: [nsa-cisa-k8s-v1.2-readonlyrootfilesystem] only read-only root filesystem container is allowed: wordpress
pod/wp-non-compliant created

Remova o pacote de políticas de fortalecimento do Kubernetes da NSA CISA v1.2

Se necessário, o pacote de políticas de reforço do Kubernetes v1.2 da NSA CISA pode ser removido do cluster.

kubectl

• Use o kubectl para remover as políticas:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2
  

kpt

• Remova as políticas:

  kpt live destroy
  

Config Sync

Os operadores que usam o Config Sync para implementar políticas nos respetivos clusters podem usar as seguintes instruções:

1. Envie as alterações para o repositório do Config Sync:

   git rm -r SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2
   git commit -m 'Removing NSA CISA Kubernetes Hardening Guide v1.2 policies'
   git push
   

2. Valide o estado:

   nomos status
   

   O cluster deve apresentar o estado SYNCED com os recursos removidos.