Security Center:Tambahkan kluster Kubernetes yang dikelola sendiri ke Security Center

Langkah 1. Instal Logtail

Untuk informasi selengkapnya, lihat Install Logtail components in a self-managed Kubernetes cluster, khususnya bagian Install Logtail.

Langkah 2. Aktifkan auditing kluster

Langkah-langkah berikut hanya sebagai referensi. Untuk informasi selengkapnya, lihat Use cluster auditing.

1. Kluster terdaftar telah dibuat dan kluster Kubernetes yang dikelola sendiri telah dihubungkan ke kluster terdaftar. Untuk informasi selengkapnya, lihat Create an ACK One registered cluster.

2. Konfigurasikan file kebijakan audit di node master.

   Login ke node master dan edit /etc/kubernetes/audit-policy.yaml menggunakan templat di bawah ini. Ulangi langkah ini di semua node master lainnya.

   Catatan

   Nilai apiVersion bergantung pada versi Kubernetes Anda:

   • Kubernetes sebelum 1.24: gunakan audit.k8s.io/v1beta1

   • Kubernetes 1.24 dan seterusnya: gunakan audit.k8s.io/v1

   Untuk detailnya, lihat Kubernetes 1.24 release notes.

   apiVersion: audit.k8s.io/v1beta1  # Gunakan audit.k8s.io/v1 untuk Kubernetes >= 1.24
   kind: Policy
   # Sembunyikan event pada tahap RequestReceived.
   omitStages:
     - "RequestReceived"
   rules:
     # Permintaan volume tinggi dengan risiko rendah — tidak dicatat.
     - level: None
       users: ["system:kube-proxy"]
       verbs: ["watch"]
       resources:
         - group: "" # core
           resources: ["endpoints", "services"]
     - level: None
       users: ["system:unsecured"]
       namespaces: ["kube-system"]
       verbs: ["get"]
       resources:
         - group: "" # core
           resources: ["configmaps"]
     - level: None
       users: ["kubelet"] # identitas kubelet lama
       verbs: ["get"]
       resources:
         - group: "" # core
           resources: ["nodes"]
     - level: None
       userGroups: ["system:nodes"]
       verbs: ["get"]
       resources:
         - group: "" # core
           resources: ["nodes"]
     - level: None
       users:
         - system:kube-controller-manager
         - system:kube-scheduler
         - system:serviceaccount:kube-system:endpoint-controller
       verbs: ["get", "update"]
       namespaces: ["kube-system"]
       resources:
         - group: "" # core
           resources: ["endpoints"]
     - level: None
       users: ["system:apiserver"]
       verbs: ["get"]
       resources:
         - group: "" # core
           resources: ["namespaces"]
     # URL hanya-baca — tidak dicatat.
     - level: None
       nonResourceURLs:
         - /healthz*
         - /version
         - /swagger*
     # Event — tidak dicatat.
     - level: None
       resources:
         - group: "" # core
           resources: ["events"]
     # Secrets, ConfigMaps, dan TokenReviews berisi data sensitif atau biner —
     # catat hanya metadata.
     - level: Metadata
       resources:
         - group: "" # core
           resources: ["secrets", "configmaps"]
         - group: authentication.k8s.io
           resources: ["tokenreviews"]
     # Permintaan baca untuk grup API yang dikenal — catat hanya metadata permintaan (respons bisa besar).
     - level: Request
       verbs: ["get", "list", "watch"]
       resources:
         - group: "" # core
         - group: "admissionregistration.k8s.io"
         - group: "apps"
         - group: "authentication.k8s.io"
         - group: "authorization.k8s.io"
         - group: "autoscaling"
         - group: "batch"
         - group: "certificates.k8s.io"
         - group: "extensions"
         - group: "networking.k8s.io"
         - group: "policy"
         - group: "rbac.authorization.k8s.io"
         - group: "settings.k8s.io"
         - group: "storage.k8s.io"
     # Permintaan tulis untuk grup API yang dikenal — catat permintaan dan respons lengkap.
     - level: RequestResponse
       resources:
         - group: "" # core
         - group: "admissionregistration.k8s.io"
         - group: "apps"
         - group: "authentication.k8s.io"
         - group: "authorization.k8s.io"
         - group: "autoscaling"
         - group: "batch"
         - group: "certificates.k8s.io"
         - group: "extensions"
         - group: "networking.k8s.io"
         - group: "policy"
         - group: "rbac.authorization.k8s.io"
         - group: "settings.k8s.io"
         - group: "storage.k8s.io"
     # Semua permintaan lainnya — catat hanya metadata.
     - level: Metadata

3. Konfigurasikan file Kube API Server di node master.

   Login ke semua node master satu per satu dan selesaikan konfigurasi berikut dalam file Kube API Server di path /etc/kubernetes/manifests/kube-apiserver.yaml:

   • Tambahkan parameter --audit-log-* ke perintah berdasarkan contoh berikut:

     ...
     spec:
       containers:
       - command:
         - kube-apiserver
         - --audit-log-maxbackup=10
         - --audit-log-maxsize=100
         - --audit-log-path=/var/log/kubernetes/kubernetes.audit
         - --audit-log-maxage=30
         - --audit-policy-file=/etc/kubernetes/audit-policy.yaml
         ...

   • Tambahkan parameter env aliyun_logs_audit-* berdasarkan contoh berikut:

     Anda harus mengganti {cluster_id} dalam contoh berikut dengan Cluster ID kluster Anda. Anda dapat login ke Security Center console dan memperoleh Cluster ID kluster di halaman Container. ${cluster_id} menentukan ID kluster. Anda dapat login ke konsol Security Center dan memperoleh Cluster ID kluster tujuan dari kolom Cluster Information di daftar kluster pada halaman Container Assets > Cluster.

     ...
     spec:
       containers:
       - command:
         - kube-apiserver
         - --audit-log-maxbackup=10
         - --audit-log-maxsize=100
         - --audit-log-path=/var/log/kubernetes/kubernetes.audit
         - --audit-log-maxage=30
         - --audit-policy-file=/etc/kubernetes/audit-policy.yaml
         ...
         ...
         env:
         - name: aliyun_logs_audit-${cluster_id}
           value: /var/log/kubernetes/kubernetes.audit
         - name: aliyun_logs_audit-${cluster_id}_tags
           value: audit=apiserver
         - name: aliyun_logs_audit-${cluster_id}_product
           value: k8s-audit
         - name: aliyun_logs_audit-${cluster_id}_jsonfile
           value: "true"
         image: registry-vpc.cn-shenzhen.aliyuncs.com/acs/kube-apiserver:v1.20.4-aliyun.1

   • Mount /etc/kubernetes/audit-policy.yaml ke Pod API Server seperti pada contoh berikut.

     ...
     spec:
       containers:
       - command:
         - kube-apiserver
         - --audit-log-maxbackup=10
         - --audit-log-maxsize=100
         - --audit-log-path=/var/log/kubernetes/kubernetes.audit
         - --audit-log-maxage=30
         - --audit-policy-file=/etc/kubernetes/audit-policy.yaml
         ...
         ...
         env:
         - name: aliyun_logs_audit-${cluster_id}
           value: /var/log/kubernetes/kubernetes.audit
         - name: aliyun_logs_audit-${cluster_id}_tags
           value: audit=apiserver
         - name: aliyun_logs_audit-${cluster_id}_product
           value: k8s-audit
         - name: aliyun_logs_audit-${cluster_id}_jsonfile
           value: "true"
         image: registry-vpc.cn-shenzhen.aliyuncs.com/acs/kube-apiserver:v1.20.4-aliyun.1
         ...
         ...
         volumeMounts:
         - mountPath: /var/log/kubernetes
           name: k8s-audit
         - mountPath: /etc/kubernetes/audit-policy.yaml
           name: audit-policy
           readOnly: true
         ...
         ...
       volumes:
       - hostPath:
           path: /var/log/kubernetes
           type: DirectoryOrCreate
         name: k8s-audit
       - hostPath:
           path: /etc/kubernetes/audit-policy.yaml
           type: FileOrCreate
         name: audit-policy
       ...

Langkah 3. Verifikasi pengumpulan log

1. Login ke Simple Log Service console.

2. Klik nama proyek tujuan.

3. Periksa apakah log terkait telah dikumpulkan ke Logstore di bawah proyek tujuan.

Langkah 4. Aktifkan deteksi ancaman

1. Login ke Security Center console.

2. Di panel navigasi kiri, pilih Asset Center > Container. Di pojok kiri atas konsol, pilih wilayah tempat aset yang akan dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.

3. Di tab Cluster, klik Self-built cluster access.

4. Temukan kluster yang dikelola sendiri tempat Anda ingin mengaktifkan deteksi ancaman berbasis log K8s. Di kolom Actions, klik Edit.

5. Di tab Enable Log Collection, pilih Enable Kubernetes Log Reporting to Detect Threats, konfigurasikan informasi log audit, lalu klik Save.

   • Region of Log Audit Service: Pilih wilayah tempat log audit disimpan.

   • Project of Log Audit Service: Masukkan nama proyek yang dibuat di Langkah 1. Install Logtail. Contoh: k8s-log-custom-sd89ehdq.

   • Logstore of Log Audit Service: Masukkan nama Logstore yang dibuat secara otomatis di Langkah 1. Install Logtail. Contoh: audit-027b007a7dd11967a9f7e2449d8dc497.