Policy Controller מגיע עם ספריית ברירת מחדל של תבניות הגבלות שאפשר להשתמש בהן עם חבילת NIST SP 800-190 שמטמיעה אמצעי בקרה שמפורטים בפרסום מיוחד (SP) 800-190 של המכון הלאומי לתקנים וטכנולוגיה (NIST), מדריך אבטחה של קונטיינרים של אפליקציות. החבילה נועדה לעזור לארגונים באבטחת קונטיינרים של אפליקציות, כולל אבטחת קובצי אימג', אבטחת זמן ריצה של קונטיינרים, אבטחת רשת ואבטחת מערכת המארח, בין היתר.
הדף הזה מיועד לאדמינים ולמפעילים בתחום ה-IT שרוצים לוודא שכל המשאבים שפועלים בפלטפורמת הענן עומדים בדרישות התאימות של הארגון. כדי לעשות את זה, הם יכולים לספק ולתחזק אוטומציה לביקורת או לאכיפה. מידע נוסף על תפקידים נפוצים ועל משימות לדוגמה שאנחנו מתייחסים אליהן בתוכן של Google Cloud , זמין במאמר תפקידים נפוצים של משתמשים ומשימות ב-GKE.
בדף הזה מוסבר איך להחיל חבילת מדיניות באופן ידני. אפשרות אחרת היא להחיל חבילות מדיניות ישירות.
מגבלות של חבילת המדיניות NIST SP 800-190
| שם המגבלה | תיאור המגבלה | מזהה הבקרה |
|---|---|---|
| nist-sp-800-190-restrict-rbac-subjects | מגביל את השימוש בשמות בנושאי RBAC לערכים מותרים. | AC-2 Account Management |
| nist-sp-800-190-restrict-rbac-subjects | מגביל את השימוש בשמות בנושאי RBAC לערכים מותרים. | אכיפת גישה AC-3 |
| nist-sp-800-190-block-secrets-of-type-basic-auth | ההגדרה מגבילה את השימוש בסודות מסוג basic-auth. | אכיפה של זרימת מידע AC-4 |
| nist-sp-800-190-require-binauthz | נדרש Binary Authorization Validating Admission Webhook. | |
| nist-sp-800-190-require-namespace-network-policies | הדרישה היא שלכל מרחב שמות שמוגדר באשכול תהיה מדיניות NetworkPolicy. | |
| nist-sp-800-190-restrict-hostpath-volumes | מגבילה את השימוש בנפחי HostPath. | |
| nist-sp-800-190-require-binauthz | נדרש Binary Authorization Validating Admission Webhook. | AC-6 Least Privilege |
| nist-sp-800-190-restrict-clusteradmin-rolebindings | מגביל את השימוש בתפקיד `cluster-admin`. | |
| nist-sp-800-190-restrict-repos | מגביל את תמונות הקונטיינרים לרשימת repos מותרת. | |
| nist-sp-800-190-restrict-role-wildcards | הגבלה על השימוש בתווים כלליים ב-`Roles` וב-`ClusterRoles`. | |
| nist-sp-800-190-nodes-have-consistent-time | כדי להבטיח שהשעה בצמתים תהיה עקבית ונכונה, אפשר להשתמש רק במערכת הפעלה שמותאמת לקונטיינרים(COS) או באובונטו כתמונת מערכת ההפעלה. | AU-8 Time Stamps |
| nist-sp-800-190-require-namespace-network-policies | הדרישה היא שלכל מרחב שמות שמוגדר באשכול תהיה מדיניות NetworkPolicy. | CA-9 Internal System Connections |
| nist-sp-800-190-enforce-config-management | נדרש שסנכרון תצורות יפעל ושהתכונה Drift Prevention תהיה מופעלת עם אובייקט `RootSync` אחד לפחות באשכול. | הגדרות בסיסיות של CM-2 |
| nist-sp-800-190-require-managed-by-label | כל האפליקציות צריכות לכלול תווית תקינה של `app.kubernetes.io/managed-by` . | |
| nist-sp-800-190-apparmor | מגביל את פרופילי AppArmor שמותרים לשימוש ב-Pods. | בקרה על שינוי בהגדרות של CM-3 |
| nist-sp-800-190-block-secrets-of-type-basic-auth | ההגדרה מגבילה את השימוש בסודות מסוג basic-auth. | |
| nist-sp-800-190-capabilities | מגביל את היכולות הנוספות שמותר להשתמש בהן ב-Pods. | |
| nist-sp-800-190-enforce-config-management | נדרש שסנכרון תצורות יפעל ושהתכונה Drift Prevention תהיה מופעלת עם אובייקט `RootSync` אחד לפחות באשכול. | |
| nist-sp-800-190-host-namespaces | מגביל מאגרי תגים עם הערך true של hostPID או hostIPC. | |
| nist-sp-800-190-host-network | ההגדרה הזו מגבילה את האפשרות להפעיל קונטיינרים עם הדגל hostNetwork שהערך שלו הוא true. | |
| nist-sp-800-190-privileged-containers | מגביל מאגרי תגים עם הערך `true` בהגדרה `securityContext.privileged`. | |
| nist-sp-800-190-proc-mount-type | נדרשות מסכות ברירת המחדל של /proc עבור Pods | |
| nist-sp-800-190-require-managed-by-label | כל האפליקציות צריכות לכלול תווית תקינה של `app.kubernetes.io/managed-by` . | |
| nist-sp-800-190-restrict-hostpath-volumes | מגבילה את השימוש בנפחי HostPath. | |
| nist-sp-800-190-restrict-volume-types | מגביל את סוגי הכרכים שאפשר לצרף לרשימת ההיתרים. | |
| nist-sp-800-190-seccomp | פרופיל ה-Seccomp לא יכול להיות מוגדר באופן מפורש ל-`Unconfined`. | |
| nist-sp-800-190-selinux | מגבילה את ההגדרה של SELinux עבור Pods. | |
| nist-sp-800-190-sysctls | מגביל את פקודות ה-Sysctl המותרות לשימוש ב-Pods. | |
| nist-sp-800-190-enforce-config-management | נדרש שסנכרון תצורות יפעל ושהתכונה Drift Prevention תהיה מופעלת עם אובייקט `RootSync` אחד לפחות באשכול. | CM-4 ניתוח השפעות על האבטחה |
| nist-sp-800-190-require-managed-by-label | כל האפליקציות צריכות לכלול תווית תקינה של `app.kubernetes.io/managed-by` . | |
| nist-sp-800-190-restrict-clusteradmin-rolebindings | מגביל את השימוש בתפקיד `cluster-admin`. | |
| nist-sp-800-190-enforce-config-management | נדרש שסנכרון תצורות יפעל ושהתכונה Drift Prevention תהיה מופעלת עם אובייקט `RootSync` אחד לפחות באשכול. | CM-5 הגבלות גישה לשינוי |
| nist-sp-800-190-require-managed-by-label | כל האפליקציות צריכות לכלול תווית תקינה של `app.kubernetes.io/managed-by` . | |
| nist-sp-800-190-restrict-clusteradmin-rolebindings | מגביל את השימוש בתפקיד `cluster-admin`. | |
| nist-sp-800-190-block-secrets-of-type-basic-auth | ההגדרה מגבילה את השימוש בסודות מסוג basic-auth. | הגדרות תצורה של CM-6 |
| nist-sp-800-190-enforce-config-management | נדרש שסנכרון תצורות יפעל ושהתכונה Drift Prevention תהיה מופעלת עם אובייקט `RootSync` אחד לפחות באשכול. | |
| nist-sp-800-190-require-binauthz | נדרש Binary Authorization Validating Admission Webhook. | |
| nist-sp-800-190-require-managed-by-label | כל האפליקציות צריכות לכלול תווית תקינה של `app.kubernetes.io/managed-by` . | |
| nist-sp-800-190-restrict-hostpath-volumes | מגבילה את השימוש בנפחי HostPath. | |
| nist-sp-800-190-restrict-volume-types | מגביל את סוגי הכרכים שאפשר לצרף לרשימת ההיתרים. | |
| nist-sp-800-190-apparmor | מגביל את פרופילי AppArmor שמותרים לשימוש ב-Pods. | CM-7 Least Functionality |
| nist-sp-800-190-capabilities | מגביל את היכולות הנוספות שמותר להשתמש בהן ב-Pods. | |
| nist-sp-800-190-host-namespaces | מגביל מאגרי תגים עם הערך true של hostPID או hostIPC. | |
| nist-sp-800-190-host-network | ההגדרה הזו מגבילה את האפשרות להפעיל קונטיינרים עם הדגל hostNetwork שהערך שלו הוא true. | |
| nist-sp-800-190-privileged-containers | מגביל מאגרי תגים עם הערך `true` בהגדרה `securityContext.privileged`. | |
| nist-sp-800-190-proc-mount-type | נדרשות מסכות ברירת המחדל של /proc עבור Pods | |
| nist-sp-800-190-restrict-clusteradmin-rolebindings | מגביל את השימוש בתפקיד `cluster-admin`. | |
| nist-sp-800-190-restrict-hostpath-volumes | מגבילה את השימוש בנפחי HostPath. | |
| nist-sp-800-190-restrict-volume-types | מגביל את סוגי הכרכים שאפשר לצרף לרשימת ההיתרים. | |
| nist-sp-800-190-seccomp | פרופיל ה-Seccomp לא יכול להיות מוגדר באופן מפורש ל-`Unconfined`. | |
| nist-sp-800-190-selinux | מגבילה את ההגדרה של SELinux עבור Pods. | |
| nist-sp-800-190-sysctls | מגביל את פקודות ה-Sysctl המותרות לשימוש ב-Pods. | |
| nist-sp-800-190-enforce-config-management | נדרש שסנכרון תצורות יפעל ושהתכונה Drift Prevention תהיה מופעלת עם אובייקט `RootSync` אחד לפחות באשכול. | גיבוי של מערכת CP-9 |
| nist-sp-800-190-require-managed-by-label | כל האפליקציות צריכות לכלול תווית תקינה של `app.kubernetes.io/managed-by` . | |
| nist-sp-800-190-enforce-config-management | נדרש שסנכרון תצורות יפעל ושהתכונה Drift Prevention תהיה מופעלת עם אובייקט `RootSync` אחד לפחות באשכול. | CP-10 Information System Recovery and Reconstitution |
| nist-sp-800-190-require-managed-by-label | כל האפליקציות צריכות לכלול תווית תקינה של `app.kubernetes.io/managed-by` . | |
| nist-sp-800-190-restrict-rbac-subjects | מגביל את השימוש בשמות בנושאי RBAC לערכים מותרים. | IA-2 זיהוי ואימות (משתמשים בארגון) |
| nist-sp-800-190-block-creation-with-default-serviceaccount | הגבלת יצירת משאבים באמצעות חשבון שירות שמוגדר כברירת מחדל. | IA-4 Identifier Management |
| nist-sp-800-190-restrict-rbac-subjects | מגביל את השימוש בשמות בנושאי RBAC לערכים מותרים. | |
| nist-sp-800-190-require-binauthz | נדרש Binary Authorization Validating Admission Webhook. | IA-5 Authenticator Management |
| nist-sp-800-190-restrict-rbac-subjects | מגביל את השימוש בשמות בנושאי RBAC לערכים מותרים. | |
| nist-sp-800-190-restrict-rbac-subjects | מגביל את השימוש בשמות בנושאי RBAC לערכים מותרים. | MA-4 Nonlocal Maintenance |
| nist-sp-800-190-enforce-config-management | נדרש שסנכרון תצורות יפעל ושהתכונה Drift Prevention תהיה מופעלת עם אובייקט `RootSync` אחד לפחות באשכול. | SA-10 Developer Configuration Management |
| nist-sp-800-190-require-managed-by-label | כל האפליקציות צריכות לכלול תווית תקינה של `app.kubernetes.io/managed-by` . | |
| nist-sp-800-190-require-namespace-network-policies | הדרישה היא שלכל מרחב שמות שמוגדר באשכול תהיה מדיניות NetworkPolicy. | SC-4 מידע ב'משאבים משותפים' |
| nist-sp-800-190-cpu-and-memory-limits-required | נדרש ש-Pods יציינו מגבלות של CPU וזיכרון. | SC-6 זמינות משאבים |
| nist-sp-800-190-asm-peer-authn-strict-mtls | הוא מבטיח שאימותים בין עמיתים לא יכולים לדרוס mTLS מחמיר. | SC-8 Transmission Confidentiality and Integrity |
| nist-sp-800-190-block-secrets-of-type-basic-auth | ההגדרה מגבילה את השימוש בסודות מסוג basic-auth. | SI-7 תקינות של תוכנה, קושחה ומידע |
| nist-sp-800-190-enforce-config-management | נדרש שסנכרון תצורות יפעל ושהתכונה Drift Prevention תהיה מופעלת עם אובייקט `RootSync` אחד לפחות באשכול. | |
| nist-sp-800-190-require-binauthz | נדרש Binary Authorization Validating Admission Webhook. | |
| nist-sp-800-190-require-managed-by-label | כל האפליקציות צריכות לכלול תווית תקינה של `app.kubernetes.io/managed-by` . | |
| nist-sp-800-190-restrict-hostpath-volumes | מגבילה את השימוש בנפחי HostPath. |
לפני שמתחילים
- מתקינים ומאתחלים את Google Cloud CLI, שמספק את הפקודות
gcloudו-kubectlשמשמשות בהוראות האלה. אם אתם משתמשים ב-Cloud Shell, Google Cloud CLI מותקן מראש. - מתקינים את Policy Controller באשכול עם ספריית ברירת המחדל של תבניות אילוץ. בנוסף, צריך להפעיל תמיכה באילוצים שלמותיים כי החבילה הזו מכילה אילוצים כאלה.
הגדרת Policy Controller לאילוצים של הפניות
שומרים את מניפסט ה-YAML הבא בקובץ בשם
policycontroller-config.yaml. קובץ המניפסט מגדיר את Policy Controller כך שיעקוב אחרי סוגים ספציפיים של אובייקטים.apiVersion: config.gatekeeper.sh/v1alpha1 kind: Config metadata: name: config namespace: "gatekeeper-system" spec: sync: syncOnly: - group: "networking.k8s.io" version: "v1" kind: "NetworkPolicy" - group: "configsync.gke.io" version: "v1beta1" kind: "RootSync" - group: "admissionregistration.k8s.io" version: "v1" kind: "ValidatingWebhookConfiguration"החלת המניפסט
policycontroller-config.yaml:kubectl apply -f policycontroller-config.yaml
הגדרת האשכול ועומס העבודה
- צריך להפעיל ולהגדיר את סנכרון תצורות
, כולל Drift Prevention admission webhook ב-
nist-sp-800-190-enforce-config-management. - תמונות של קונטיינרים מוגבלות לרשימת מאגרי מידע מותרים, שאפשר להתאים אישית לפי הצורך ב-
nist-sp-800-190-restrict-repos. - הצמתים צריכים להשתמש במערכת הפעלה שמותאמת לקונטיינרים או ב-Ubuntu
בתור קובץ האימג' שלהם ב-
nist-sp-800-190-nodes-have-consistent-time. נדרשת הפעלה והגדרה של Binary Authorization ב-
nist-sp-800-190-require-binauthz.
חבילת מדיניות של NIST SP 800-190
בעזרת Policy Controller אפשר לאכוף מדיניות באשכול Kubernetes. כדי לבדוק את עומסי העבודה ואת התאימות שלהם למדיניות NIST שמפורטת בטבלה הקודמת, אפשר לפרוס את האילוצים האלה במצב 'ביקורת' כדי לזהות הפרות, וחשוב מכך, כדי לתקן אותן לפני האכיפה באשכול Kubernetes.
אפשר להחיל את כללי המדיניות האלה עם spec.enforcementAction שמוגדר ל-dryrun באמצעות kubectl, kpt או סנכרון תצורות.
kubectl
(אופציונלי) מציגים בתצוגה מקדימה את אילוצי המדיניות באמצעות kubectl:
kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-190
מחילים את אילוצי המדיניות באמצעות kubectl:
kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-190
הפלט שיתקבל:
asmpeerauthnstrictmtls.constraints.gatekeeper.sh/nist-sp-800-190-asm-peer-authn-strict-mtls created k8sallowedrepos.constraints.gatekeeper.sh/nist-sp-800-190-restrict-repos created k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/nist-sp-800-190-block-creation-with-default-serviceaccount created k8sblockobjectsoftype.constraints.gatekeeper.sh/nist-sp-800-190-block-secrets-of-type-basic-auth created k8senforceconfigmanagement.constraints.gatekeeper.sh/nist-sp-800-190-enforce-config-management created k8spspapparmor.constraints.gatekeeper.sh/nist-sp-800-190-apparmor created k8spspcapabilities.constraints.gatekeeper.sh/nist-sp-800-190-capabilities created k8spspforbiddensysctls.constraints.gatekeeper.sh/nist-sp-800-190-sysctls created k8spsphostfilesystem.constraints.gatekeeper.sh/nist-sp-800-190-restrict-hostpath-volumes created k8spsphostnamespace.constraints.gatekeeper.sh/nist-sp-800-190-host-namespaces created k8spsphostnetworkingports.constraints.gatekeeper.sh/nist-sp-800-190-host-network created k8spspprivilegedcontainer.constraints.gatekeeper.sh/nist-sp-800-190-privileged-containers created k8spspprocmount.constraints.gatekeeper.sh/nist-sp-800-190-proc-mount-type created k8spspselinuxv2.constraints.gatekeeper.sh/nist-sp-800-190-selinux created k8spspseccomp.constraints.gatekeeper.sh/nist-sp-800-190-seccomp created k8spspvolumetypes.constraints.gatekeeper.sh/nist-sp-800-190-restrict-volume-types created k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/nist-sp-800-190-restrict-role-wildcards created k8srequirebinauthz.constraints.gatekeeper.sh/nist-sp-800-190-require-binauthz created k8srequirecosnodeimage.constraints.gatekeeper.sh/nist-sp-800-190-nodes-have-consistent-time created k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nist-sp-800-190-require-namespace-network-policies created k8srequiredlabels.constraints.gatekeeper.sh/nist-sp-800-190-require-managed-by-label created k8srequiredresources.constraints.gatekeeper.sh/nist-sp-800-190-cpu-and-memory-limits-required created k8srestrictrbacsubjects.constraints.gatekeeper.sh/nist-sp-800-190-restrict-rbac-subjects created k8srestrictrolebindings.constraints.gatekeeper.sh/nist-sp-800-190-restrict-clusteradmin-rolebindings created
מוודאים שאילוצי המדיניות הותקנו ובודקים אם יש הפרות בכל האשכול:
kubectl get constraints -l policycontroller.gke.io/bundleName=nist-sp-800-190
הפלט אמור להיראות כך:
NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspapparmor.constraints.gatekeeper.sh/nist-sp-800-190-apparmor dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirebinauthz.constraints.gatekeeper.sh/nist-sp-800-190-require-binauthz dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrbacsubjects.constraints.gatekeeper.sh/nist-sp-800-190-restrict-rbac-subjects dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspforbiddensysctls.constraints.gatekeeper.sh/nist-sp-800-190-sysctls dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspvolumetypes.constraints.gatekeeper.sh/nist-sp-800-190-restrict-volume-types dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostnetworkingports.constraints.gatekeeper.sh/nist-sp-800-190-host-network dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostnamespace.constraints.gatekeeper.sh/nist-sp-800-190-host-namespaces dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/nist-sp-800-190-restrict-role-wildcards dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/nist-sp-800-190-block-creation-with-default-serviceaccount dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostfilesystem.constraints.gatekeeper.sh/nist-sp-800-190-restrict-hostpath-volumes dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspseccomp.constraints.gatekeeper.sh/nist-sp-800-190-seccomp dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS asmpeerauthnstrictmtls.constraints.gatekeeper.sh/nist-sp-800-190-asm-peer-authn-strict-mtls dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredresources.constraints.gatekeeper.sh/nist-sp-800-190-cpu-and-memory-limits-required dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspprocmount.constraints.gatekeeper.sh/nist-sp-800-190-proc-mount-type dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockobjectsoftype.constraints.gatekeeper.sh/nist-sp-800-190-block-secrets-of-type-basic-auth dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nist-sp-800-190-require-namespace-network-policies dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspcapabilities.constraints.gatekeeper.sh/nist-sp-800-190-capabilities dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredlabels.constraints.gatekeeper.sh/nist-sp-800-190-require-managed-by-label dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspprivilegedcontainer.constraints.gatekeeper.sh/nist-sp-800-190-privileged-containers dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sallowedrepos.constraints.gatekeeper.sh/nist-sp-800-190-restrict-repos dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspselinuxv2.constraints.gatekeeper.sh/nist-sp-800-190-selinux dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8senforceconfigmanagement.constraints.gatekeeper.sh/nist-sp-800-190-enforce-config-management dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrolebindings.constraints.gatekeeper.sh/nist-sp-800-190-restrict-clusteradmin-rolebindings dryrun 0
kpt
מתקינים ומגדירים את kpt.
ההוראות האלה מתבססות על kpt כדי להתאים אישית ולפרוס משאבי Kubernetes.
מורידים את חבילת המדיניות NIST SP 800-190 מ-GitHub באמצעות kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-190
מריצים את הפונקציה
set-enforcement-actionkpt כדי להגדיר את פעולת האכיפה של המדיניות לערךdryrun:kpt fn eval nist-sp-800-190 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \ -- enforcementAction=dryrun
מאתחלים את ספריית העבודה באמצעות kpt, שיוצר משאב למעקב אחרי שינויים:
cd nist-sp-800-190 kpt live init
מחילים את אילוצי המדיניות באמצעות kpt:
kpt live apply
מוודאים שאילוצי המדיניות הותקנו ובודקים אם יש הפרות בכל האשכול:
kpt live status --output table --poll-until current
הסטטוס
CURRENTמאשר שההתקנה של האילוצים בוצעה בהצלחה.
סנכרון תצורות
מתקינים ומגדירים את kpt.
ההוראות האלה מתבססות על kpt כדי להתאים אישית ולפרוס משאבי Kubernetes.
מפעילים שמשתמשים ב-סנכרון תצורות כדי לפרוס מדיניות באשכולות שלהם יכולים להשתמש בהוראות הבאות:
עוברים לספריית הסנכרון של סנכרון תצורות:
cd SYNC_ROOT_DIR
כדי ליצור או להוסיף
.gitignoreעםresourcegroup.yaml:echo resourcegroup.yaml >> .gitignore
יוצרים ספרייה ייעודית של
policies:mkdir -p policies
מורידים את חבילת המדיניות NIST SP 800-190 מ-GitHub באמצעות kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-190 policies/nist-sp-800-190
מריצים את הפונקציה
set-enforcement-actionkpt כדי להגדיר את פעולת האכיפה של המדיניות לערךdryrun:kpt fn eval policies/nist-sp-800-190 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
(אופציונלי) מציגים בתצוגה מקדימה את אילוצי המדיניות שייווצרו:
kpt live init policies/nist-sp-800-190 kpt live apply --dry-run policies/nist-sp-800-190
אם ספריית הסנכרון של סנכרון תצורות משתמשת ב-Kustomize, צריך להוסיף את
policies/nist-sp-800-190ל-rootkustomization.yaml. אחרת, מסירים את הקובץpolicies/nist-sp-800-190/kustomization.yaml:rm SYNC_ROOT_DIR/policies/nist-sp-800-190/kustomization.yaml
דחיפת השינויים למאגר סנכרון תצורות:
git add SYNC_ROOT_DIR/policies/nist-sp-800-190 git commit -m 'Adding NIST SP 800-190 policy audit enforcement' git push
מאמתים את סטטוס ההתקנה:
watch gcloud beta container fleet config-management status --project PROJECT_ID
הסטטוס
SYNCEDמאשר שהמדיניות הותקנה.
הצגת הפרות מדיניות
אחרי שמתקינים את האילוצים של המדיניות במצב ביקורת, אפשר לראות את ההפרות באשכול בממשק המשתמש באמצעות לוח הבקרה של Policy Controller.
אפשר גם להשתמש ב-
kubectlכדי לראות את ההפרות באשכול באמצעות הפקודה הבאה:kubectl get constraint -l policycontroller.gke.io/bundleName=nist-sp-800-190 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
אם יש הפרות, אפשר לראות רשימה של הודעות ההפרה לכל אילוץ באמצעות הפקודה:
kubectl get constraint -l policycontroller.gke.io/bundleName=nist-sp-800-190 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
שינוי פעולת האכיפה של חבילת המדיניות NIST SP 800-190
אחרי שבודקים את הפרות המדיניות באשכול, אפשר לשנות את מצב האכיפה כך שבקרת הכניסה תהיה warn מופעלת או אפילו deny תחסום את היישום של משאב שלא עומד בדרישות באשכול.
kubectl
משתמשים ב-kubectl כדי להגדיר את פעולת האכיפה של כללי המדיניות ל-
deny:kubectl get constraints -l policycontroller.gke.io/bundleName=nist-sp-800-190 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'מוודאים שפעולת האכיפה של הגבלות המדיניות עודכנה:
kubectl get constraints -l policycontroller.gke.io/bundleName=nist-sp-800-190
kpt
מריצים את הפונקציה
set-enforcement-actionkpt כדי להגדיר את פעולת האכיפה של המדיניות לערךdeny:kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=deny
החלת האילוצים של מדיניות הארגון:
kpt live apply
סנכרון תצורות
מפעילים שמשתמשים ב-סנכרון תצורות כדי לפרוס מדיניות באשכולות שלהם יכולים להשתמש בהוראות הבאות:
עוברים לספריית הסנכרון של סנכרון תצורות:
cd SYNC_ROOT_DIR
מריצים את הפונקציה
set-enforcement-actionkpt כדי להגדיר את פעולת האכיפה של המדיניות לערךdeny:kpt fn eval policies/nist-sp-800-190 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=deny
דחיפת השינויים למאגר סנכרון תצורות:
git add SYNC_ROOT_DIR/policies/nist-sp-800-190 git commit -m 'Adding NIST SP 800-190 policy warn enforcement' git push
מאמתים את סטטוס ההתקנה:
nomos status
האשכול צריך להציג סטטוס של
SYNCEDעם המדיניות המותקנת.
בדיקת אכיפת המדיניות
יוצרים משאב לא תואם באשכול באמצעות הפקודה הבאה:
cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
name: wp-non-compliant
spec:
containers:
‐ image: wordpress
name: wordpress
EOF
בקרת הכניסה צריכה להפיק אזהרה שמפרטת את הפרות המדיניות שמתרחשות במשאב הזה, כמו בדוגמה הבאה:
Warning: [nist-sp-800-190-cpu-and-memory-limits-required] container <wordpress> does not have <{"cpu", "memory"}> limits defined
Warning: [nist-sp-800-190-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"]
pod/wp-non-compliant created
הסרה של חבילת מדיניות NIST SP 800-190
במקרה הצורך, אפשר להסיר את חבילת המדיניות NIST SP 800-190 מהאשכול.
kubectl
משתמשים ב-kubectl כדי להסיר את כללי המדיניות:
kubectl delete constraint -l policycontroller.gke.io/bundleName=nist-sp-800-190
kpt
מסירים את כללי המדיניות:
kpt live destroy
סנכרון תצורות
מפעילים שמשתמשים ב-סנכרון תצורות כדי לפרוס מדיניות באשכולות שלהם יכולים להשתמש בהוראות הבאות:
דחיפת השינויים למאגר סנכרון תצורות:
git rm -r SYNC_ROOT_DIR/policies/nist-sp-800-190 git commit -m 'Removing NIST SP 800-190 policies' git push
בודקים את הסטטוס:
nomos status
האשכול אמור להציג סטטוס של
SYNCEDעם המשאבים שהוסרו.