בדף הזה מוסבר מהו Policy Controller ואיך אפשר להשתמש בו כדי לוודא שאשכולות Kubernetes ועומסי העבודה פועלים בצורה מאובטחת ותואמת.
הדף הזה מיועד לאדמינים ממחלקת IT, לאופרטורים ולמומחי אבטחה שמגדירים פתרונות IT וארכיטקטורת מערכת בהתאם לאסטרטגיה של החברה, ומוודאים שכל המשאבים שפועלים בפלטפורמת הענן עומדים בדרישות התאימות של הארגון על ידי מתן ותחזוקה של אוטומציה לביקורת או לאכיפה. במאמר תפקידים ומשימות נפוצים של משתמשי GKE מפורטים תפקידים נפוצים ומשימות לדוגמה שמוזכרים בתוכן של Google Cloud .
Policy Controller מאפשר להחיל ולאכוף מדיניות ניתנת לתכנות באשכולות של Kubernetes. כללי המדיניות האלה פועלים כמעקות בטיחות ויכולים לעזור לכם לנהל את השיטות המומלצות, האבטחה והתאימות של האשכולות וה-fleet. Policy Controller מבוסס על פרויקט הקוד הפתוח Open Policy Agent Gatekeeper, משולב באופן מלא ב- Google Cloud, כולל לוח בקרה מובנה לתצפיתיות ומגיע עם ספרייה מלאה של כללי מדיניות מוכנים מראש לאמצעי בקרה נפוצים של אבטחה ותאימות.
היתרונות של Policy Controller
- משולב עם Google Cloud: אדמינים של פלטפורמות יכולים להתקין את Policy Controller באמצעות מסוף Google Cloud , באמצעות Terraform או באמצעות Google Cloud CLI בכל אשכול שמחובר ל-fleet. Policy Controller פועל עם שירותים אחרים שלGoogle Cloud , כמו סנכרון הגדרות, מדדים ו-Cloud Monitoring.
- תמיכה במספר נקודות אכיפה: בנוסף לביקורת ולבקרת הגישה לאשכול, Policy Controller מאפשר להפעיל גישת Shift-Left כדי לנתח ולתפוס שינויים שלא תואמים למדיניות לפני שהם מיושמים.
- חבילות מדיניות מובנות מראש: Policy Controller כולל ספרייה מלאה של כללי מדיניות מובנים מראש לאמצעי בקרה נפוצים של אבטחה ותאימות. הכלים האלה כוללים גם חבילות מדיניות וגם את ספריית תבניות האילוצים.
- תמיכה בכללי מדיניות בהתאמה אישית: אם אתם צריכים להתאים אישית את כללי המדיניות מעבר למה שזמין באמצעות ספריית התבניות של האילוצים, אתם יכולים להשתמש ב-Policy Controller כדי לפתח תבניות אילוצים בהתאמה אישית.
- ניראות מובנית: ב-Policy Controller יש לוח בקרה במסוף Google Cloud , שבו מוצגת סקירה כללית של המצב של כל כללי המדיניות שחלים על ה-fleet (כולל אשכולות לא רשומים). בלוח הבקרה אפשר לראות את סטטוס התאימות והאכיפה כדי לפתור בעיות, ולקבל המלצות מפורטות לפתרון הפרות מדיניות.
חבילות מדיניות
אתם יכולים להשתמש בחבילות מדיניות כדי להחיל מספר אילוצים שמקובצים לפי נושא ספציפי של תקן, אבטחה או תאימות של Kubernetes. לדוגמה, אתם יכולים להשתמש בחבילות המדיניות הבאות:
- אכיפה של רבות מהדרישות של PodSecurityPolicies, אבל עם יכולת נוספת לבדוק את ההגדרות האישיות לפני האכיפה, כדי לוודא ששינויים במדיניות לא ישבשו את עומסי העבודה שפועלים.
- להשתמש באילוצים שתואמים ל-Cloud Service Mesh כדי לבדוק את התאימות של פרצות האבטחה ושל השיטות המומלצות ברשת.
- יישום שיטות מומלצות כלליות במשאבי האשכול כדי לשפר את מצב האבטחה.
בסקירה הכללית על חבילות של Policy Controller מופיעים פרטים נוספים ורשימה של חבילות המדיניות שזמינות כרגע.
מגבלות
כדי לאכוף את התאימות של האשכולות, Policy Controller משתמש באובייקטים שנקראים אילוצים. אפשר לחשוב על אילוצים כ "אבני הבניין" של המדיניות. כל אילוץ מגדיר שינוי ספציפי ב-Kubernetes API שמותר או אסור לבצע באשכול שעליו הוא חל. אתם יכולים להגדיר כללי מדיניות כדי לחסום באופן פעיל בקשות API שלא עומדות בדרישות, או כדי לבדוק את ההגדרות של האשכולות ולדווח על הפרות. בשני המקרים, אתם יכולים לראות הודעות אזהרה עם פרטים על ההפרה שהתרחשה באשכול. בעזרת המידע הזה תוכלו לפתור את הבעיות. לדוגמה, אפשר להשתמש באילוצים הבאים:
- לדרוש שלכל מרחב שמות תהיה לפחות תווית אחת. אפשר להשתמש באילוץ הזה כדי להבטיח מעקב מדויק אחרי צריכת המשאבים, למשל כשמשתמשים ב-GKE Usage Metering.
- להגביל את המאגרים שאפשר לשלוף מהם קובץ אימג' של קונטיינר. האילוץ הזה מבטיח שכל ניסיון לשלוף קונטיינרים ממקורות לא ידועים יידחה, וכך מגן על האשכולות מפני הפעלת תוכנות שעלולות להיות זדוניות.
- לקבוע אם קונטיינר יכול לפעול במצב הרשאות ניהול. המגבלה הזו קובעת אם קונטיינר יכול להפעיל מצב הרשאות, שמאפשר לכם לקבוע אילו קונטיינרים (אם בכלל) יכולים לפעול עם מדיניות ללא הגבלה.
אלה רק חלק מהאילוצים שמופיעים בספריית תבניות האילוצים שכלולה ב-Policy Controller. הספרייה הזו מכילה כללי מדיניות רבים שבהם אתם יכולים להשתמש כדי לאכוף שיטות מומלצות ולהגביל את הסיכון. אם אתם צריכים התאמה אישית נוספת מעבר למה שזמין בספריית תבניות האילוצים, אתם יכולים גם ליצור תבניות אילוצים בהתאמה אישית.
אפשר להחיל אילוצים ישירות על האשכולות באמצעות Kubernetes API, או להפיץ אותם לקבוצת אשכולות ממקור מרכזי, כמו מאגר Git, באמצעות סנכרון הגדרות.