Security Center：Tambahkan kluster Kubernetes yang dikelola sendiri ke Pusat Keamanan

Langkah 1. Instal komponen Logtail

Untuk instruksi spesifik, lihat Install Logtail di Instal komponen Logtail di kluster Kubernetes yang dikelola sendiri.

Langkah 2. Aktifkan fitur audit kluster

Prosedur berikut hanya untuk referensi. Untuk informasi lebih lanjut, lihat Aktifkan audit kluster untuk kluster.

1. Buat kluster terdaftar dan tambahkan kluster Kubernetes yang dikelola sendiri ke kluster terdaftar. Untuk informasi lebih lanjut, lihat Buat kluster terdaftar ACK One.

2. Konfigurasikan file audit-policy.yaml untuk node master.

   Masuk ke node master dan modifikasi file /etc/kubernetes/audit-policy.yaml berdasarkan template berikut. Anda juga harus melakukan langkah ini pada node master lainnya.

   Catatan

   Jika versi Kubernetes kluster lebih awal dari 1.24, atur apiVersion ke audit.k8s.io/v1beta1. Jika tidak, atur apiVersion ke audit.k8s.io/v1. Untuk informasi lebih lanjut, lihat (Tidak digunakan lagi) Kubernetes 1.24.

   apiVersion: audit.k8s.io/v1beta1
   kind: Policy
   # Jangan hasilkan peristiwa audit untuk semua permintaan di tahap RequestReceived.
   omitStages:
     - "RequestReceived"
   rules:
     # Permintaan berikut secara manual diidentifikasi sebagai volume tinggi dan risiko rendah,
     # jadi abaikan.
     - level: None
       users: ["system:kube-proxy"]
       verbs: ["watch"]
       resources:
         - group: "" # core
           resources: ["endpoints", "services"]
     - level: None
       users: ["system:unsecured"]
       namespaces: ["kube-system"]
       verbs: ["get"]
       resources:
         - group: "" # core
           resources: ["configmaps"]
     - level: None
       users: ["kubelet"] # identitas kubelet lama
       verbs: ["get"]
       resources:
         - group: "" # core
           resources: ["nodes"]
     - level: None
       userGroups: ["system:nodes"]
       verbs: ["get"]
       resources:
         - group: "" # core
           resources: ["nodes"]
     - level: None
       users:
         - system:kube-controller-manager
         - system:kube-scheduler
         - system:serviceaccount:kube-system:endpoint-controller
       verbs: ["get", "update"]
       namespaces: ["kube-system"]
       resources:
         - group: "" # core
           resources: ["endpoints"]
     - level: None
       users: ["system:apiserver"]
       verbs: ["get"]
       resources:
         - group: "" # core
           resources: ["namespaces"]
     # Jangan catat URL baca-saja berikut.
     - level: None
       nonResourceURLs:
         - /healthz*
         - /version
         - /swagger*
     # Jangan catat permintaan peristiwa.
     - level: None
       resources:
         - group: "" # core
           resources: ["events"]
     # Rahasia, ConfigMaps, dan TokenReviews dapat berisi data sensitif & biner,
     # jadi hanya catat pada tingkat Metadata.
     - level: Metadata
       resources:
         - group: "" # core
           resources: ["secrets", "configmaps"]
         - group: authentication.k8s.io
           resources: ["tokenreviews"]
     # Tanggapan Get bisa besar; lewati mereka.
     - level: Request
       verbs: ["get", "list", "watch"]
       resources:
         - group: "" # core
         - group: "admissionregistration.k8s.io"
         - group: "apps"
         - group: "authentication.k8s.io"
         - group: "authorization.k8s.io"
         - group: "autoscaling"
         - group: "batch"
         - group: "certificates.k8s.io"
         - group: "extensions"
         - group: "networking.k8s.io"
         - group: "policy"
         - group: "rbac.authorization.k8s.io"
         - group: "settings.k8s.io"
         - group: "storage.k8s.io"
     # Tingkat default untuk API yang diketahui
     - level: RequestResponse
       resources:
         - group: "" # core
         - group: "admissionregistration.k8s.io"
         - group: "apps"
         - group: "authentication.k8s.io"
         - group: "authorization.k8s.io"
         - group: "autoscaling"
         - group: "batch"
         - group: "certificates.k8s.io"
         - group: "extensions"
         - group: "networking.k8s.io"
         - group: "policy"
         - group: "rbac.authorization.k8s.io"
         - group: "settings.k8s.io"
         - group: "storage.k8s.io"
     # Tingkat default untuk semua permintaan lainnya.
     - level: Metadata

3. Konfigurasikan file kube-apiserver.yaml untuk node master.

   Masuk ke node master dan modifikasi file /etc/kubernetes/manifests/kube-apiserver.yaml berdasarkan deskripsi berikut. Anda juga harus melakukan langkah ini pada node master lainnya.

   • Tambahkan parameter --audit-log-* ke bagian command:

     ...
     spec:
       containers:
       - command:
         - kube-apiserver
         - --audit-log-maxbackup=10
         - --audit-log-maxsize=100
         - --audit-log-path=/var/log/kubernetes/kubernetes.audit
         - --audit-log-maxage=30
         - --audit-policy-file=/etc/kubernetes/audit-policy.yaml
         ...

   • Tambahkan parameter aliyun_logs_audit-* ke bagian env.

     Anda harus mengganti {cluster_id} dengan ID kluster Anda. Untuk mendapatkan ID kluster Anda, lakukan operasi berikut: Masuk ke konsol Pusat Keamanan dan buka tab Cluster di halaman Kontainer. Gambar berikut menunjukkan cara mendapatkan ID kluster Anda.

     ...
     spec:
       containers:
       - command:
         - kube-apiserver
         - --audit-log-maxbackup=10
         - --audit-log-maxsize=100
         - --audit-log-path=/var/log/kubernetes/kubernetes.audit
         - --audit-log-maxage=30
         - --audit-policy-file=/etc/kubernetes/audit-policy.yaml
         ...
         ...
         env:
         - name: aliyun_logs_audit-${cluster_id}
           value: /var/log/kubernetes/kubernetes.audit
         - name: aliyun_logs_audit-${cluster_id}_tags
           value: audit=apiserver
         - name: aliyun_logs_audit-${cluster_id}_product
           value: k8s-audit
         - name: aliyun_logs_audit-${cluster_id}_jsonfile
           value: "true"
         image: registry-vpc.cn-shenzhen.aliyuncs.com/acs/kube-apiserver:v1.20.4-aliyun.1

   • Gunakan template berikut untuk memasang /etc/kubernetes/audit-policy.yaml ke pod kube-apiserver:

     ...
     spec:
       containers:
       - command:
         - kube-apiserver
         - --audit-log-maxbackup=10
         - --audit-log-maxsize=100
         - --audit-log-path=/var/log/kubernetes/kubernetes.audit
         - --audit-log-maxage=30
         - --audit-policy-file=/etc/kubernetes/audit-policy.yaml
         ...
         ...
         env:
         - name: aliyun_logs_audit-${cluster_id}
           value: /var/log/kubernetes/kubernetes.audit
         - name: aliyun_logs_audit-${cluster_id}_tags
           value: audit=apiserver
         - name: aliyun_logs_audit-${cluster_id}_product
           value: k8s-audit
         - name: aliyun_logs_audit-${cluster_id}_jsonfile
           value: "true"
         image: registry-vpc.cn-shenzhen.aliyuncs.com/acs/kube-apiserver:v1.20.4-aliyun.1
         ...
         ...
         volumeMounts:
         - mountPath: /var/log/kubernetes
           name: k8s-audit
         - mountPath: /etc/kubernetes/audit-policy.yaml
           name: audit-policy
           readOnly: true
         ...
         ...
       volumes:
       - hostPath:
           path: /var/log/kubernetes
           type: DirectoryOrCreate
         name: k8s-audit
       - hostPath:
           path: /etc/kubernetes/audit-policy.yaml
           type: FileOrCreate
         name: audit-policy
       ...

Langkah 3. Periksa apakah log dikumpulkan

1. Masuk ke Konsol Simple Log Service.

2. Klik nama proyek yang diperlukan.

3. Periksa apakah log terkait telah dikumpulkan ke Logstore yang ditentukan dalam proyek.

Langkah 4. Aktifkan deteksi ancaman

1. Masuk ke konsol Pusat Keamanan. Di bilah navigasi atas, pilih wilayah aset yang ingin Anda kelola. Anda dapat memilih China atau Outside China.

2. Di panel navigasi sisi kiri, pilih Assets > Container.

3. Di tab Cluster, klik Self-built cluster access.

4. Temukan kluster Kubernetes yang dikelola sendiri yang diperlukan dan klik Edit di kolom Actions.

5. Di tab Enable Log Collection, pilih Enable Kubernetes Log Reporting to Detect Threats, konfigurasikan parameter berikut, lalu klik Save.

   • Region of Log Audit Service: Pilih wilayah tempat Anda ingin menyimpan log.

   • Project of Log Audit Service: Masukkan nama proyek yang Anda buat di Langkah 1. Instal komponen Logtail. Contoh: k8s-log-custom-sd89ehdq.

   • Logstore of Log Audit Service: Masukkan nama Logstore yang dibuat secara otomatis di Langkah 1. Instal komponen Logtail. Contoh: audit-027b007a7dd11967a9f7e2449d8dc497.