保護機群

Google Cloud 提供多項功能，可保護機群及在其中運作的應用程式。本頁面提供機群安全防護功能的總覽，並附上連結，方便您瞭解詳情。

管理身分

Google Cloud 提供下列選項，無論叢集位於何處，都能以簡單、一致且安全的方式驗證機群叢集。設定驗證後，您可以使用 Kubernetes 角色式存取控管 (RBAC)，為叢集設定更精細的存取控管。

使用 Google Cloud進行驗證

根據預設， Google Cloud 上的所有 GKE 叢集都設為接受 Google Cloud 使用者和服務帳戶身分。如果機群包含多個環境中的叢集，您可以設定 Connect 閘道，讓使用者和服務帳戶也能使用 Google Cloud ID 向任何已註冊的叢集進行驗證。

如要進一步瞭解如何設定及使用驗證機制 Google Cloud ，請參閱下列指南：

使用第三方供應商進行驗證

如要使用現有的第三方識別資訊提供者，向機群叢集進行驗證，GKE 身分認證服務這項驗證服務可讓您將現有的身分解決方案，用於多個環境。這項服務支援所有 OpenID Connect (OIDC) 供應商 (例如 Okta 和 Microsoft AD FS)，並在部分環境中提供 LDAP 供應商的預先發布版支援。您可以逐一設定叢集的 GKE 身分認證服務，或為整個機群套用單一設定 (如支援)。

如要進一步瞭解如何設定及使用第三方驗證，包括支援的環境和供應商，請參閱下列指南：

使用不記名權杖進行驗證

如果上述 Google 提供的解決方案不適合貴機構，您可以設定使用 Kubernetes 服務帳戶進行驗證，並使用其不記名權杖登入。詳情請參閱「使用不記名權杖進行設定」。

管理機群安全性

Google Cloud 提供多種功能和產品，可提升機群和工作負載的安全性，例如：

  • 二進位授權，確保只有受信任的映像檔會部署至機群叢集
  • Kubernetes 網路政策，可控管 Pod 之間的連線
  • Cloud Service Mesh 的精細服務存取控管
  • GKE 資安態勢資訊主頁，用於監控叢集的資安態勢。

監控機群資安態勢

GKE 資安態勢資訊主頁可協助您評估及管理機群的 GKE 叢集，找出安全疑慮，並取得可行的建議來修正問題。功能包括設定稽核。

資訊主頁會顯示所選機群中所有叢集，以及所選專案中任何獨立 GKE 叢集所發現的問題。

在機群層級設定資安態勢資訊主頁功能

您可以在機群層級管理部分安全防護資訊主頁功能，讓機群中的所有叢集都能使用相同的安全觀測能力預設設定。

車隊安全資源

如要進一步瞭解機群安全防護功能，請參閱下列指南：

管理叢集政策

Policy Controller 可為機群叢集強制執行完全程式化的政策。這些政策是「防護機制」，用來防止 Kubernetes API 設定上的異動違反安全性、營運或法規遵循的控管。

如要進一步瞭解 Policy Controller 的用途，請參閱 Policy Controller 說明文件。