使用 Policy Essentials 2022 版政策限制

Policy Controller 隨附預設的限制範本庫，可以與 Policy Essentials v2022 套裝組合搭配使用，將 Google 的最佳做法建議套用至您的叢集資源。

本頁說明如何手動套用政策組合。或者，您也可以直接套用政策組合。

如果您是 IT 管理員或營運人員，想確保雲端平台中執行的所有資源都符合機構的法規遵循規定，請參閱本頁內容，瞭解如何提供及維護自動化稽核或強制執行功能。如要進一步瞭解我們在 Google Cloud 內容中提及的常見角色和範例工作，請參閱「常見的 GKE 使用者角色和工作」。

這個限制條件組合可解決下列網域的政策問題，並強制執行政策：

  • RBAC 和服務帳戶
  • Pod 安全性政策
  • 容器網路介面 (CNI)
  • 密鑰管理
  • 一般政策

Policy Essentials 政策套裝組合限制

限制條件名稱 限制說明
policy-essentials-v2022-no-secrets-as-env-vars 建議使用 Secret 做為檔案，而非 Secret 做為環境變數
policy-essentials-v2022-pods-require-security-context 將安全性情境套用至 Pod 和容器
policy-essentials-v2022-prohibit-role-wildcard-access 盡量減少在「Roles」和「ClusterRoles」中使用萬用字元。
policy-essentials-v2022-psp-allow-privilege-escalation-container 盡量減少允許 allowPrivilegeEscalation 的容器
policy-essentials-v2022-psp-capabilities 容器必須捨棄 `NET_RAW` 功能，且不得加回任何功能。
policy-essentials-v2022-psp-host-namespace 盡量減少「hostPID」或「hostIPC」設為「true」的容器。
policy-essentials-v2022-psp-host-network-ports 盡量減少允許容器共用主機網路命名空間
policy-essentials-v2022-psp-privileged-container 盡量減少特殊權限容器的許可
policy-essentials-v2022-psp-pods-must-run-as-nonroot 盡量減少根容器的許可
policy-essentials-v2022-psp-seccomp-default 確認 Pod 定義中的 seccomp 設定檔已設為 `runtime/default` 或 `docker/default`
policy-essentials-v2022-restrict-clusteradmin-rolebindings 盡量減少使用叢集管理員角色。

事前準備

  1. 安裝並初始化 Google Cloud CLI，其中提供這些操作說明中使用的 gcloud 和 kubectl 指令。如果您使用 Cloud Shell，Google Cloud CLI 會預先安裝。
  2. 在叢集上安裝 Policy Controller 1.14.3 以上版本，並使用預設的限制範本庫。

稽核政策基本政策套裝組合

您可以透過 Policy Controller，對 Kubernetes 叢集強制執行政策。如要測試工作負載及其是否符合上表列出的 Google 建議最佳做法，您可以「稽核」模式部署這些限制，找出違規事項，更重要的是，在 Kubernetes 叢集上強制執行限制前，有機會修正這些事項。

您可以使用 kubectl、kpt 或 Config Sync，將 spec.enforcementAction 設為 dryrun 來套用這些政策。

kubectl

  1. (選用) 使用 kubectl 預覽政策限制：

    kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022

  2. 使用 kubectl 套用政策限制：

    kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022

    輸出內容如下：

    k8snoenvvarsecrets.constraints.gatekeeper.sh/policy-essentials-v2022-no-secrets-as-env-vars created
k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-allow-privilege-escalation created
k8spspallowedusers.constraints.gatekeeper.sh/policy-essentials-v2022-psp-pods-must-run-as-nonroot created
k8spspcapabilities.constraints.gatekeeper.sh/policy-essentials-v2022-psp-capabilities created
k8spsphostnamespace.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-namespace created
k8spsphostnetworkingports.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-network-ports created
k8spspprivilegedcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-privileged-container created
k8spspseccomp.constraints.gatekeeper.sh/policy-essentials-v2022-psp-seccomp-default created
k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/policy-essentials-v2022-pods-require-security-context created
k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/policy-essentials-v2022-prohibit-role-wildcard-access created
k8srestrictrolebindings.constraints.gatekeeper.sh/policy-essentials-v2022-restrict-clusteradmin-rolebindings created

  3. 確認政策限制已安裝，並檢查叢集是否出現違規情形：

    kubectl get -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022

    輸出結果會與下列內容相似：

    NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8snoenvvarsecrets.constraints.gatekeeper.sh/policy-essentials-v2022-no-secrets-as-env-vars   dryrun               0

NAME                                                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-allow-privilege-escalation   dryrun               0

NAME                                                                                                ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspallowedusers.constraints.gatekeeper.sh/policy-essentials-v2022-psp-pods-must-run-as-nonroot   dryrun               0

NAME                                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspcapabilities.constraints.gatekeeper.sh/policy-essentials-v2022-psp-capabilities   dryrun               0

NAME                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spsphostnamespace.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-namespace   dryrun               0

NAME                                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spsphostnetworkingports.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-network-ports   dryrun               0

NAME                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspprivilegedcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-privileged-container   dryrun               0

NAME                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspseccomp.constraints.gatekeeper.sh/policy-essentials-v2022-psp-seccomp-default   dryrun               0

NAME                                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/policy-essentials-v2022-pods-require-security-context   dryrun               0

NAME                                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/policy-essentials-v2022-prohibit-role-wildcard-access   dryrun               0

NAME                                                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictrolebindings.constraints.gatekeeper.sh/policy-essentials-v2022-restrict-clusteradmin-rolebindings   dryrun               0

KPT

  1. 安裝及設定 kpt。這些操作說明會使用 kpt 自訂及部署 Kubernetes 資源。

  2. 使用 kpt 從 GitHub 下載 Policy Essentials 2022 版政策套件：

    kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022

  3. 執行 set-enforcement-action kpt 函式，將政策的強制執行動作設為 dryrun：

    kpt fn eval policy-essentials-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
  -- enforcementAction=dryrun

  4. 使用 kpt 初始化工作目錄，這會建立資源來追蹤變更：

    cd policy-essentials-v2022
kpt live init

  5. 使用 kpt 套用政策限制：

    kpt live apply

    輸出內容如下：

    k8spspseccomp.constraints.gatekeeper.sh/policy-essentials-v2022-psp-seccomp-docker-default created
k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/policy-essentials-v2022-pods-require-security-context created
k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/policy-essentials-v2022-prohibit-role-wildcard-access created
k8snoenvvarsecrets.constraints.gatekeeper.sh/policy-essentials-v2022-no-secrets-as-env-vars created
k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-allow-privilege-escalation-container created
k8spspallowedusers.constraints.gatekeeper.sh/policy-essentials-v2022-psp-pods-must-run-as-nonroot created
k8spsphostnetworkingports.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-network-ports created
k8srestrictrolebindings.constraints.gatekeeper.sh/policy-essentials-v2022-restrict-clusteradmin-rolebindings created
k8spspcapabilities.constraints.gatekeeper.sh/policy-essentials-v2022-psp-capabilities created
k8spsphostnamespace.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-namespace created
k8spspprivilegedcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-privileged-container created
11 resource(s) applied. 11 created, 0 unchanged, 0 configured, 0 failed

  6. 確認政策限制已安裝，並檢查叢集是否出現違規情形：

    kpt live status --output table --poll-until current

    如果狀態為 CURRENT，表示限制條件已成功安裝。

Config Sync

  1. 安裝及設定 kpt。這些操作說明會使用 kpt 自訂及部署 Kubernetes 資源。

如果運算子使用 Config Sync 將政策部署至叢集，可以按照下列指示操作：

  1. 切換至 Config Sync 的同步目錄：

    cd SYNC_ROOT_DIR

    如要使用 resourcegroup.yaml 建立或附加 .gitignore：

    echo resourcegroup.yaml >> .gitignore

  2. 建立專屬的 policies 目錄：

    mkdir -p policies

  3. 使用 kpt 從 GitHub 下載 Policy Essentials 2022 版政策套件：

    kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022 policies/policy-essentials-v2022

  4. 執行 set-enforcement-action kpt 函式，將政策的強制執行動作設為 dryrun：

    kpt fn eval policies/policy-essentials-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun

  5. (選用) 預覽要建立的政策限制：

    kpt live init policies/policy-essentials-v2022
kpt live apply --dry-run policies/policy-essentials-v2022

    輸出內容如下：

    Dry-run strategy: client
inventory update started
inventory update finished
apply phase started
k8snoenvvarsecrets.constraints.gatekeeper.sh/policy-essentials-v2022-no-secrets-as-env-vars apply successful
k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-allow-privilege-escalation apply successful
k8spspallowedusers.constraints.gatekeeper.sh/policy-essentials-v2022-psp-pods-must-run-as-nonroot apply successful
k8spspcapabilities.constraints.gatekeeper.sh/policy-essentials-v2022-psp-capabilities apply successful
k8spsphostnamespace.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-namespace apply successful
k8spsphostnetworkingports.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-network-ports apply successful
k8spspprivilegedcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-privileged-container apply successful
k8spspseccomp.constraints.gatekeeper.sh/policy-essentials-v2022-psp-seccomp-default apply successful
k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/policy-essentials-v2022-pods-require-security-context apply successful
k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/policy-essentials-v2022-prohibit-role-wildcard-access apply successful
k8srestrictrolebindings.constraints.gatekeeper.sh/policy-essentials-v2022-restrict-clusteradmin-rolebindings apply successful
apply phase finished
inventory update started
inventory update finished
apply result: 11 attempted, 11 successful, 0 skipped, 0 failed

  6. 如果 Config Sync 的同步目錄使用 Kustomize，請將 policies/policy-essentials-v2022 新增至根 kustomization.yaml。否則請移除 policies/policy-essentials-v2022/kustomization.yaml 檔案：

    rm SYNC_ROOT_DIR/policies/policy-essentials-v2022/kustomization.yaml

  7. 將變更推送至 Config Sync 存放區：

    git add SYNC_ROOT_DIR/policy-essentials-v2022
git commit -m 'Adding Policy Essentials v2022 policy audit enforcement'
git push

  8. 驗證安裝狀態：

    watch gcloud beta container fleet config-management status --project PROJECT_ID

    如果狀態為 SYNCED，表示政策已安裝完成。

查看違反政策的內容

在稽核模式下安裝政策限制後，您可以使用 Policy Controller 資訊主頁，在 UI 中查看叢集違規情形。

您也可以使用 kubectl 執行下列指令，查看叢集上的違規事項：

kubectl get constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

如有違規事項，您可以透過下列方式查看每個限制的違規訊息清單：

kubectl get constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

變更 Policy Essentials 政策套裝組合的違規處置措施

查看叢集中的政策違規事項後，您可以考慮變更強制執行模式，讓 Admission Controller warn 或 deny 阻止不符規定的資源套用至叢集。

kubectl

  1. 使用 kubectl 將政策的強制執行動作設為 warn：

    kubectl get constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'

  2. 確認政策限制強制執行動作已更新：

    kubectl get constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022

KPT

  1. 執行 set-enforcement-action kpt 函式，將政策的強制執行動作設為 warn：

    kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn

  2. 套用政策限制：

    kpt live apply

Config Sync

如果運算子使用 Config Sync 將政策部署至叢集，可以按照下列指示操作：

  1. 切換至 Config Sync 的同步目錄：

    cd SYNC_ROOT_DIR

  2. 執行 set-enforcement-action kpt 函式，將政策的強制執行動作設為 warn：

    kpt fn eval policies/policy-essentials-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn

  3. 將變更推送至 Config Sync 存放區：

    git add SYNC_ROOT_DIR/policies/policy-essentials-v2022
git commit -m 'Adding Policy Essentials policy bundle warn enforcement'
git push

  4. 驗證安裝狀態：

    nomos status

    叢集應會顯示 SYNCED 狀態，並列出已安裝的政策。

測試政策強制執行

使用下列指令在叢集上建立不符規定的資源：

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

准入控制器應會產生警告，列出這項資源違反的政策，如下列範例所示：

Warning: [policy-essentials-v2022-psp-capabilities] container <wordpress> is not dropping all required capabilities. Container must drop all of ["NET_RAW"] or "ALL"
pod/wp-non-compliant created

移除「政策基本原則」政策組合

如有需要，可以從叢集中移除「政策基本知識」政策套裝組合。

kubectl

  • 使用 kubectl 移除政策：

    kubectl delete constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022

KPT

  • 移除政策：

    kpt live destroy

Config Sync

如果運算子使用 Config Sync 將政策部署至叢集，可以按照下列指示操作：

  1. 將變更推送至 Config Sync 存放區：

    git rm -r SYNC_ROOT_DIR/policies/policy-essentials-v2022
git commit -m 'Removing Policy Essentials v2022 policies'
git push

  2. 確認狀態：

    nomos status

    叢集應會顯示 SYNCED 狀態，並移除資源。