אבטחת הצי

‫Google Cloud מספק מגוון תכונות לאבטחת ה-fleet והאפליקציות שפועלות בו. בדף הזה מופיעה סקירה כללית על אמצעי האבטחה של Fleet, עם קישורים למידע נוסף.

ניהול הזהות

Google Cloud מספק את האפשרויות הבאות לאימות באשכולות של צי, בצורה פשוטה, עקבית ומאובטחת, בכל מקום שבו האשכולות נמצאים. אחרי שמגדירים אימות, אפשר להגדיר בקרת גישה מפורטת יותר לאשכולות באמצעות בקרת גישה מבוססת-תפקידים (RBAC) של Kubernetes.

אימות באמצעות Google Cloud

כברירת מחדל, כל אשכולות GKE ב- Google Cloud מוגדרים לקבל זהויות של משתמשים וחשבונות שירות של Google Cloud . אם ה-fleet מכיל אשכולות בכמה סביבות, אתם יכולים להגדיר את שער Connect כך שמשתמשים וחשבונות שירות יוכלו גם לאמת את הזהות שלהם בכל אשכול רשום באמצעות מזהה Google Cloud .

במדריכים הבאים מוסבר איך להגדיר את האימות ולהשתמש בו ב- Google Cloud :

• הגדרת הגישה לאשכול של kubectl
• התחברות לאשכולות רשומים באמצעות שער Connect
• הגדרת שער Connect
• שימוש בשער Connect

אימות באמצעות ספקי צד שלישי

אם אתם רוצים להשתמש בספק הזהויות הקיים שלכם מצד שלישי כדי לבצע אימות באשכולות של Fleet, אתם יכולים להשתמש ב-GKE Identity Service – שירות אימות שמאפשר לכם להעביר את פתרונות הזהויות הקיימים שלכם לכמה סביבות. הוא תומך בכל הספקים של OpenID Connect (OIDC), כמו Okta ו-Microsoft AD FS, וגם תומך בגרסת טרום-השקה (Preview) של ספקי LDAP בסביבות מסוימות. אתם יכולים להגדיר את GKE Identity Service לכל אשכול בנפרד, או באמצעות הגדרה אחת לכל ה-fleet, אם יש תמיכה בכך.

במדריכים הבאים מוסבר איך להגדיר אימות של צד שלישי ולהשתמש בו, כולל סביבות וספקים נתמכים:

• היכרות עם GKE Identity Service
• גישה לאשכולות באמצעות GKE Identity Service

אימות באמצעות טוקן למוכ"ז

אם הפתרונות של Google שצוינו למעלה לא מתאימים לארגון שלכם, אתם יכולים להגדיר אימות באמצעות חשבון שירות של Kubernetes ולהשתמש בטוקן למוכ"ז שלו כדי להתחבר. פרטים נוספים זמינים במאמר הגדרה באמצעות טוקן למוכ"ז.

ניהול האבטחה של ה-Fleet

‫Google Cloud מספק מגוון תכונות ומוצרים שמשפרים את האבטחה של הציים ועומסי העבודה, למשל:

• ‫Binary Authorization כדי לוודא שרק קובצי אימג' מהימנים נפרסים באשכולות של ה-fleet
• מדיניות רשת ב-Kubernetes כדי לשלוט בחיבורים בין Pods
• בקרת גישה פרטנית לשירותים ב-Cloud Service Mesh
• מרכז הבקרה של GKE לבדיקת מצב האבטחה של האשכולות.

מעקב אחרי מצב האבטחה של כלל המכשירים

מרכז הבקרה של מצב האבטחה ב-GKE עוזר לכם להעריך ולנהל את אשכולות GKE ב-Fleet כדי לזהות בעיות אבטחה ולקבל המלצות פרקטיות לתיקון שלהן. היכולות כוללות ביקורת הגדרות.

בלוח הבקרה מוצגות הבעיות שזוהו בכל האשכולות ב-fleet שנבחר, ובכל אשכול GKE עצמאי בפרויקט שנבחר.

• לפרטים ולרשימה מלאה של היכולות, קראו את המאמר מידע על מרכז הבקרה של מצב האבטחה.
• למידע על מחירים, קראו את המאמר התמחור של מרכז הבקרה של GKE לבדיקת מצב האבטחה.

הגדרת התכונות של לוח הבקרה "מצב האבטחה" ברמת ה-Fleet

אתם יכולים לנהל חלק מהתכונות של לוח הבקרה של האבטחה ברמת ה-fleet, כך שכל האשכולות ב-fleet יוכלו להשתמש באותן הגדרות ברירת מחדל של ניטור האבטחה.

• איך מגדירים את התכונות של לוח הבקרה של מצב האבטחה ב-Fleet.

משאבי אבטחה של Fleet

במדריכים הבאים תוכלו לקרוא מידע נוסף על אמצעי האבטחה של Fleet:

• Binary Authorization
• מדיניות רשת ב-Kubernetes
• אבטחת אפליקציות ב-Cloud Service Mesh:
  • סקירה כללית של מדיניות ההרשאות
  • הגדרת אבטחת תעבורה
  • מעקב אחרי האבטחה של רשת ה-Mesh
• מידע על מרכז הבקרה של מצב האבטחה

ניהול כללי המדיניות של האשכול

באמצעות Policy Controller אפשר לאכוף כללי מדיניות שניתנים לתכנות מלא באשכולות של ה-fleet. כללי המדיניות האלה פועלים כ "מעקות בטיחות" ומונעים משינויים בהגדרות של Kubernetes API להפר את אמצעי הבקרה של האבטחה, התפעול או התאימות.

במסמכי התיעוד של Policy Controller תוכלו לקרוא מידע נוסף על מה שאפשר לעשות עם Policy Controller.