שימוש במרכזי הבקרה של Policy Controller

בדף הזה מוסבר איך להשתמש בלוחות הבקרה של Policy Controller כדי לראות את היקף המדיניות ואת ההפרות באשכול.

הדף הזה מיועד לאדמינים ממחלקת IT ולמפעילים שרוצים לוודא שכל המשאבים שפועלים בפלטפורמת הענן עומדים בדרישות התאימות של הארגון. כדי לעשות את זה, הם מספקים ומתחזקים אוטומציה לביקורת או לאכיפה, ומגדירים התראות ומעקב אחרי מערכות IT כדי לבדוק את הביצועים ולזהות נקודות חולשה. במאמר תפקידים ומשימות נפוצים של משתמשי GKE מפורטים תפקידים נפוצים ומשימות לדוגמה שמוזכרים בתוכן של Google Cloud .

במסוף Google Cloud אפשר לראות מרכז בקרה עם מידע על הכיסוי של הפוליסה. בלוח הבקרה מוצג מידע כמו:

  • מספר האשכולות ב-fleet (כולל אשכולות לא רשומים) שבהם מותקן Policy Controller.
  • מספר האשכולות שבהם מותקן Policy Controller ומכילים הפרות מדיניות.
  • מספר האילוצים שהוחלו על האשכולות שלכם לכל פעולת אכיפה.

אם אתם משתמשים בחבילות של Policy Controller, תוכלו לראות סקירה כללית של התאימות שלכם על סמך התקנים בחבילה אחת או יותר. הסקירה הכללית הזו נאספת ברמת ה-fleet וכוללת גם את האשכולות הלא רשומים (גרסת טרום-השקה (Preview)).

לפני שמתחילים

  1. מוודאים שהאשכולות רשומים בצי ושהתקנתם בהם את Policy Controller.

  2. כדי לקבל את ההרשאות שנדרשות לשימוש בלוח הבקרה של Policy Controller, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים:

    • צפייה ב-GKE Hub‏ (roles/gkehub.viewer) בפרויקט שמכיל את ה-fleet
    • צפייה במעקב (roles/monitoring.viewer) בכל פרויקט עם אשכול ב-fleet

    אפשר לקרוא מידע נוסף על הקצאת תפקידים במאמר ניהול הגישה.

הצגת הסטטוס של Policy Controller

אפשר לראות מידע על הכיסוי של הפוליסה במסוף Google Cloud .

  1. במסוף Google Cloud , נכנסים לדף Policy בקטע Posture Management.

    למדיניות

    בכרטיסייה Dashboard מוצגת סקירה כללית של הכיסוי של Policy Controller, עם הפרטים הבאים:

    • ב-Policy Controller coverage מוצג מספר האשכולות שבהם מותקן Policy Controller ומספר האשכולות שבהם הוא לא מותקן.
    • בקטע Clusters in violation מוצג מספר האשכולות ללא הפרות ומספר האשכולות עם הפרות. ההפרות מבוססות על האילוצים שחלים על האשכול.
    • בעמודה אכיפה מוצג סוג הפעולה שצוין בכל אילוץ. מידע נוסף על פעולות אכיפה זמין במאמר ביקורת באמצעות אילוצים.
    • ‫Compliance by standards: סקירה כללית של התאימות על סמך התקנים בחבילה אחת או יותר של Policy Controller. אם אתם לא משתמשים בחבילות, הסטטוס בקטע הזה הוא "100% לא הוחלו".

  2. כדי לראות מידע מפורט יותר על הפרות המדיניות באשכול, עוברים לכרטיסייה Violations:

    1. בקטע תצוגה לפי, בוחרים באחת מהאפשרויות הבאות:

      • Constraint: הצגת רשימה רגילה של כל האילוצים עם ההפרות באשכול.
      • ‫Namespace: הצגת אילוצים עם הפרות, לפי מרחב השמות שמכיל את המשאב עם ההפרה.
      • ‫Resource kind: הצגת אילוצים עם הפרות, לפי המשאב שבו יש הפרה.

    2. מכל תצוגה, בוחרים את שם האילוץ שרוצים לראות.

      בכרטיסייה Details מוצג מידע על ההפרה, כולל הפעולה המומלצת לפתרון הבעיה.

      בכרטיסייה Affected Resources מוצג מידע על המשאבים שהאילוץ בודק ושיש בהם הפרות מדיניות.

צפייה בממצאי המדיניות ב-Security Command Center

אחרי שמתקינים את Policy Controller, אפשר לראות את הפרות המדיניות ב-Security Command Center. כך תוכלו לראות את מצב האבטחה של המשאבים ב- Google Cloud ושל המשאבים ב-Kubernetes באותו מקום. לוודא ש-Security Command Center מופעל בארגון ברמת Standard או מסלול פרימיום.

ב-Security Command Center, הפרות מדיניות מוצגות כממצאים של Misconfiguration. הקטגוריה והשלבים הבאים לכל ממצא זהים לתיאור האילוץ ולשלבי התיקון.

למידע נוסף על השימוש ב-Policy Controller ב-Security Command Center, קראו את המאמר ממצאי פגיעויות של Policy Controller.