Halaman ini menjelaskan apa itu Pengontrol Kebijakan dan cara menggunakannya untuk membantu memastikan cluster dan workload Kubernetes Anda berjalan dengan aman dan sesuai aturan.
Halaman ini ditujukan untuk administrator IT, Operator, dan Spesialis keamanan yang menentukan solusi IT dan arsitektur sistem sesuai dengan strategi perusahaan, serta memastikan bahwa semua resource yang berjalan dalam platform cloud memenuhi persyaratan kepatuhan organisasi dengan menyediakan dan memelihara otomatisasi untuk audit atau penegakan. Untuk mempelajari lebih lanjut peran umum dan contoh tugas yang kami referensikan dalam konten Google Cloud , lihat Peran dan tugas pengguna GKE umum.
Pengontrol Kebijakan memungkinkan penerapan dan penegakan kebijakan yang dapat diprogram untuk cluster Kubernetes Anda. Kebijakan ini berfungsi sebagai pengaman dan dapat mendukung praktik terbaik, keamanan, serta manajemen kepatuhan cluster dan fleet Anda. Berdasarkan project open source Open Policy Agent Gatekeeper, Pengontrol Kebijakan terintegrasi sepenuhnya dengan Google Cloud, mencakup dasbor bawaan, untuk kemampuan observasi, dan dilengkapi dengan library lengkap berisi kebijakan bawaan untuk kontrol kepatuhan dan keamanan umum.
Manfaat Pengontrol Kebijakan
- Terintegrasi dengan Google Cloud: Admin platform dapat menginstal Pengontrol Kebijakan menggunakan konsol Google Cloud , menggunakan Terraform, atau menggunakan Google Cloud CLI di cluster mana pun yang terhubung ke fleet Anda. Pengontrol Kebijakan berfungsi dengan layananGoogle Cloud lainnya seperti Config Sync, metrik, dan Cloud Monitoring.
- Mendukung beberapa titik penerapan: Selain audit dan kontrol akses untuk cluster Anda, Pengontrol Kebijakan dapat mengaktifkan pendekatan shift-left secara opsional untuk menganalisis dan menangkap perubahan yang tidak mematuhi kebijakan sebelum penerapan.
- Paket kebijakan bawaan: Pengontrol Kebijakan disertai library lengkap berisi kebijakan bawaan untuk kontrol kepatuhan dan keamanan umum. Hal ini mencakup Paket kebijakan dan library template batasan.
- Mendukung kebijakan kustom: Jika penyesuaian kebijakan diperlukan di luar yang tersedia menggunakan library template batasan, Pengontrol Kebijakan juga mendukung pengembangan template batasan kustom.
- Kemampuan observasi bawaan: Pengontrol Kebijakan menyertakan Google Cloud dasbor konsol, yang memberikan ringkasan status semua kebijakan yang diterapkan ke fleet Anda (termasuk cluster yang tidak terdaftar). Dari dasbor, lihat status kepatuhan dan penegakan untuk membantu Anda memecahkan masalah, dan dapatkan rekomendasi yang jelas untuk menyelesaikan pelanggaran kebijakan.
Paket kebijakan
Anda dapat menggunakan paket kebijakan untuk menerapkan sejumlah batasan yang dikelompokkan dalam tema standar, keamanan, atau kepatuhan Kubernetes tertentu. Misalnya, Anda dapat menggunakan paket kebijakan berikut:
- Menerapkan banyak persyaratan yang sama seperti PodSecurityPolicy, tetapi dengan kemampuan tambahan untuk mengaudit konfigurasi Anda sebelum menerapkannya, sehingga memastikan perubahan kebijakan apa pun tidak mengganggu workload yang sedang berjalan.
- Gunakan batasan yang kompatibel dengan Cloud Service Mesh untuk mengaudit kepatuhan kerentanan keamanan dan praktik terbaik mesh Anda.
- Terapkan praktik terbaik umum ke resource cluster Anda untuk membantu memperkuat postur keamanan Anda.
Ringkasan paket Pengontrol Kebijakan memberikan detail selengkapnya dan daftar paket kebijakan yang saat ini tersedia.
Batasan
Pengontrol Kebijakan menerapkan kepatuhan cluster Anda menggunakan objek yang disebut batasan. Anda dapat menganggap batasan sebagai "elemen penyusun" kebijakan. Setiap batasan menentukan perubahan tertentu pada Kubernetes API yang diizinkan atau tidak diizinkan pada cluster tempat batasan tersebut diterapkan. Anda dapat menetapkan kebijakan untuk memblokir permintaan API yang tidak sesuai secara aktif atau mengaudit konfigurasi cluster dan melaporkan pelanggaran. Dalam kedua kasus tersebut, Anda dapat melihat pesan peringatan dengan detail tentang pelanggaran yang terjadi pada cluster. Dengan informasi tersebut, Anda dapat memperbaiki masalah. Misalnya, Anda dapat menggunakan batasan individual berikut:
- Wajibkan setiap namespace memiliki setidaknya satu label. Batasan ini dapat digunakan untuk memastikan pelacakan konsumsi resource yang akurat saat menggunakan Pengukuran Penggunaan GKE, misalnya.
- Membatasi repositori tempat image container tertentu dapat ditarik. Batasan ini memastikan setiap upaya untuk mengambil container dari sumber yang tidak dikenal akan ditolak, sehingga melindungi cluster Anda dari menjalankan software yang berpotensi berbahaya.
- Mengontrol apakah container dapat berjalan dalam mode dengan hak istimewa atau tidak. Batasan ini mengontrol kemampuan container apa pun untuk mengaktifkan mode istimewa, yang memberi Anda kontrol atas container mana (jika ada) yang dapat dijalankan dengan kebijakan tidak terbatas.
Ini hanyalah beberapa batasan yang disediakan dalam library template batasan yang disertakan dengan Policy Controller. Library ini berisi banyak kebijakan yang dapat Anda gunakan untuk membantu menerapkan praktik terbaik dan membatasi risiko. Jika memerlukan penyesuaian lebih lanjut di luar yang tersedia di library template batasan, Anda juga dapat membuat template batasan kustom.
Batasan dapat diterapkan langsung ke cluster Anda menggunakan Kubernetes API, atau didistribusikan ke sekumpulan cluster dari sumber terpusat, seperti repositori Git, menggunakan Config Sync.