Auf dieser Seite wird erläutert, was Policy Controller ist und wie Sie damit dafür sorgen können, dass Ihre Kubernetes-Cluster und -Arbeitslasten sicher und konform ausgeführt werden.
Diese Seite richtet sich an IT-Administratoren, Operatoren und Sicherheitsspezialisten, die IT-Lösungen und Systemarchitekturen gemäß der Unternehmensstrategie definieren und dafür sorgen, dass alle auf der Cloud-Plattform ausgeführten Ressourcen die Compliance-Anforderungen des Unternehmens erfüllen, indem sie Automatisierungsfunktionen zur Prüfung oder Durchsetzung bereitstellen und aufrechterhalten. Weitere Informationen zu gängigen Rollen und Beispielaufgaben, auf die wir in Google Cloud -Inhalten verweisen, finden Sie unter Häufig verwendete GKE-Nutzerrollen und -Aufgaben.
Mit Policy Controller können Sie programmierbare Richtlinien für Ihre Kubernetes-Cluster anwenden und erzwingen. Richtlinien dienen als Schutzmaßnahmen und können Sie beim Verwalten von Best Practices, der Sicherheit und der Compliance in Ihren Clustern und Ihrer Flotte unterstützen. Policy Controller basiert auf dem Open-Source-Projekt Open Policy Agent Gatekeeper und ist vollständig in Google Cloudeingebunden. Es enthält ein integriertes Dashboard für die Beobachtbarkeit und eine vollständige Bibliothek mit vordefinierten Richtlinien für gängige Sicherheits- und Compliance-Kontrollen.
Vorteile von Policy Controller
- In Google Cloudintegriert: Plattformadministratoren können Policy Controller installieren, indem sie die Google Cloud Console, Terraform oder die Google Cloud CLI auf einem beliebigen Cluster verwenden, der mit Ihrer Flotte verbunden ist. Policy Controller funktioniert mit anderenGoogle Cloud -Diensten wie Config Sync, Messwerten und Cloud Monitoring.
- Unterstützt mehrere Erzwingungspunkte: Neben der Prüfung und Zulassungssteuerung für Ihren Cluster kann Policy Controller optional einen Shift-Left-Ansatz aktivieren, um nicht konforme Änderungen vor dem Anwenden zu analysieren und abzufangen.
- Vordefinierte Richtlinien-Bundles: Policy Controller bietet eine vollständige Bibliothek vordefinierter Richtlinien für allgemeine Sicherheits- und Compliance-Kontrollen. Dazu gehören sowohl Richtlinien-Bundles als auch die Bibliothek mit Einschränkungsvorlagen.
- Unterstützt benutzerdefinierte Richtlinien: Wenn eine Anpassung der Richtlinien über die Bibliothek mit Einschränkungsvorlagen hinaus erforderlich ist, unterstützt Policy Controller zusätzlich die Entwicklung benutzerdefinierter Einschränkungsvorlagen.
- Integrierte Beobachtbarkeit: Policy Controller enthält ein Dashboard der Google Cloud Console, das einen Überblick über den Status aller Richtlinien bietet, die auf Ihre Flotte angewendet werden (einschließlich nicht registrierter Cluster). Auf dem Dashboard sehen Sie den Compliance- und Erzwingungsstatus, sodass Sie Fehler leichter beheben können. Außerdem erhalten Sie dort fundierte Empfehlungen zum Beheben von Richtlinienverstößen.
Richtlinien-Bundles
Mit Richtlinien-Bundles können Sie eine Reihe von Einschränkungen anwenden, die unter einem bestimmten Kubernetes-Standard-, Sicherheits- oder Compliance-Thema gruppiert sind. Sie können beispielsweise die folgenden Richtlinien-Bundles verwenden:
- Sie können viele der gleichen Anforderungen erzwingen wie PodSecurityPolicies, haben aber zusätzlich die Möglichkeit, Ihre Konfiguration zu prüfen, bevor sie diese erzwingen. So stellen Sie sicher, dass die Ausführung von Arbeitslasten nicht durch Richtlinienänderungen unterbrochen wird.
- Verwenden Sie mit Cloud Service Mesh kompatible Einschränkungen, um die Compliance Ihrer Mesh-Sicherheitslücken und Best Practices zu prüfen.
- Wenden Sie allgemeine Best Practices auf Ihre Clusterressourcen an, um Ihren Sicherheitsstatus zu verbessern.
Policy Controller-Bundles – Übersicht enthält weitere Details und eine Liste der derzeit verfügbaren Richtlinien-Bundles.
Einschränkungen
Policy Controller erzwingt die Compliance Ihrer Cluster mithilfe von Objekten, die als Einschränkungen bezeichnet werden. Sie können sich Einschränkungen als die „Bausteine“ einer Richtlinie vorstellen. Jede Einschränkung definiert eine bestimmte Änderung an der Kubernetes API, die für den Cluster, auf den sie angewendet wird, zulässig oder unzulässig ist. Sie können Richtlinien festlegen, um nicht konforme API-Anfragen aktiv zu blockieren oder die Konfiguration Ihrer Cluster zu prüfen und Verstöße zu melden. In beiden Fällen können Sie Warnmeldungen mit Details zu den Verstößen auf einem Cluster aufrufen. Mit diesen Informationen können Sie Probleme beheben. Sie können beispielsweise die folgenden einzelnen Einschränkungen verwenden:
- Jeder Namespace muss mindestens ein Label haben. Mit dieser Einschränkung kann der genaue Ressourcenverbrauch beispielsweise bei Verwendung der GKE-Nutzungsmessung ermittelt werden.
- Beschränkung der Repositories, aus denen ein bestimmtes Container-Image abgerufen werden kann. Diese Einschränkung sorgt dafür, dass jeder Versuch, Container aus unbekannten Quellen abzurufen, verweigert wird. Damit wird verhindert, dass Ihre Cluster potenziell schädliche Software ausführen.
- Steuern, ob ein Container im privilegierten Modus ausgeführt werden kann Diese Einschränkung steuert die Fähigkeit eines Containers, den privilegierten Modus zu aktivieren. So können Sie festlegen, welche Container (falls vorhanden) mit uneingeschränkter Richtlinie ausgeführt werden können.
Dies sind nur einige der Einschränkungen, die in der Einschränkungsvorlagenbibliothek von Policy Controller enthalten sind. Diese Bibliothek enthält zahlreiche Richtlinien, mit denen Sie Best Practices durchsetzen und Risiken begrenzen können. Wenn Sie mehr Anpassungsmöglichkeiten benötigen, als in der Bibliothek mit Einschränkungsvorlagen verfügbar sind, können Sie auch benutzerdefinierte Einschränkungsvorlagen erstellen.
Einschränkungen können mithilfe der Kubernetes API direkt auf Ihre Cluster angewendet oder mithilfe von Config Sync von einer zentralen Quelle wie einem Git-Repository auf eine Reihe von Clustern verteilt werden.