Security Center:Daftarkan kluster K8s yang dikelola sendiri

Konfigurasikan penerusan traffic untuk penerapan cloud hibrida

Jika kluster Anda diterapkan di cloud hibrida dan tidak dapat diakses melalui Internet, konfigurasikan port forwarding pada instans Elastic Compute Service (ECS) untuk mengarahkan traffic ke server on-premises tempat API server kluster berjalan. Kluster tidak dapat berkomunikasi dengan Security Center jika penerusan ini tidak dikonfigurasi.

Contoh berikut meneruskan traffic dari Port A pada instans ECS 10.0.XX.XX ke Port B pada server on-premises 192.168.XX.XX.

CentOS 7 — firewall-cmd

firewall-cmd --permanent --add-forward-port=port=<Port A>:proto=tcp:toaddr=<192.168.XX.XX>:toport=<Port B>

CentOS 7 — iptables

# Aktifkan IP forwarding
echo "1" > /proc/sys/net/ipv4/ip_forward

# Tambahkan aturan pengalihan
iptables -t nat -A PREROUTING -p tcp --dport <Port A> -j DNAT --to-destination <192.168.XX.XX>:<Port B>

Windows — netsh

netsh interface portproxy add v4tov4 listenport=<Port A> listenaddress=* connectaddress=<192.168.XX.XX> connectport=<Port B> protocol=tcp

Tambahkan alamat IP Security Center ke daftar putih

Jika kebijakan kontrol akses diterapkan pada kluster Anda, tambahkan alamat IP Security Center untuk wilayah Anda ke daftar putih. Kluster tidak dapat berkomunikasi dengan Security Center jika alamat-alamat tersebut diblokir.

Tambahkan node master dan node yang memiliki taint

Perintah yang dihasilkan tidak menjadwalkan pod DaemonSet pada node master atau node yang memiliki taint secara default. Untuk menyertakan node-node tersebut, tambahkan toleransi ke templat pod dalam file YAML sebelum menjalankan kubectl apply.

Untuk node master — tambahkan berikut di bawah spec > template > spec:

spec:
  template:
    spec:
      tolerations:
      - key: node-role.kubernetes.io/master
        operator: Exists
        effect: NoSchedule

Toleransi ini memungkinkan pod DaemonSet dijadwalkan pada node dengan taint node-role.kubernetes.io/master:NoSchedule, sehingga menambahkan node master ke Security Center sebagai bagian dari kluster.

Untuk node lain yang memiliki taint — terapkan pola toleransi yang sama, sesuaikan dengan kunci dan efek taint untuk setiap jenis node.

Langkah 1. Instal Logtail

Ikuti petunjuk Instal Logtail dalam Instal komponen Logtail di kluster Kubernetes yang dikelola sendiri.

Langkah 2. Aktifkan auditing kluster

Langkah-langkah berikut didasarkan pada Aktifkan auditing kluster untuk kluster terdaftar.

1. Buat kluster terdaftar ACK One dan tambahkan kluster Kubernetes yang dikelola sendiri ke dalamnya. Lihat Buat kluster terdaftar ACK One.

2. Di setiap node master, perbarui /etc/kubernetes/audit-policy.yaml dengan kebijakan berikut:

   Untuk kluster yang menjalankan Kubernetes sebelum versi 1.24, atur apiVersion ke audit.k8s.io/v1beta1. Untuk versi 1.24 dan seterusnya, gunakan audit.k8s.io/v1. Lihat (Dihentikan) Kubernetes 1.24.

               volumeMounts:
               - mountPath: /var/log/kubernetes
                 name: k8s-audit
               - mountPath: /etc/kubernetes/audit-policy.yaml
                 name: audit-policy
                 readOnly: true
             volumes:
             - hostPath:
                 path: /var/log/kubernetes
                 type: DirectoryOrCreate
               name: k8s-audit
             - hostPath:
                 path: /etc/kubernetes/audit-policy.yaml
                 type: FileOrCreate
               name: audit-policy

3. Di setiap node master, perbarui /etc/kubernetes/manifests/kube-apiserver.yaml:

   1. Tambahkan flag --audit-log-* berikut ke bagian command:

      spec:
        containers:
        - command:
          - kube-apiserver
          - --audit-log-maxbackup=10
          - --audit-log-maxsize=100
          - --audit-log-path=/var/log/kubernetes/kubernetes.audit
          - --audit-log-maxage=30
          - --audit-policy-file=/etc/kubernetes/audit-policy.yaml
          ...

   2. Tambahkan variabel lingkungan berikut ke bagian env. Ganti {cluster_id} dengan ID kluster Anda — temukan di tab Cluster di Konsol Security Center.

                  env:
                  - name: aliyun_logs_audit-${cluster_id}
                    value: /var/log/kubernetes/kubernetes.audit
                  - name: aliyun_logs_audit-${cluster_id}_tags
                    value: audit=apiserver
                  - name: aliyun_logs_audit-${cluster_id}_product
                    value: k8s-audit
                  - name: aliyun_logs_audit-${cluster_id}_jsonfile
                    value: "true"

   3. Mount direktori log audit dan file kebijakan ke dalam pod kube-apiserver:

                  volumeMounts:
                  - mountPath: /var/log/kubernetes
                    name: k8s-audit
                  - mountPath: /etc/kubernetes/audit-policy.yaml
                    name: audit-policy
                    readOnly: true
                volumes:
                - hostPath:
                    path: /var/log/kubernetes
                    type: DirectoryOrCreate
                  name: k8s-audit
                - hostPath:
                    path: /etc/kubernetes/audit-policy.yaml
                    type: FileOrCreate
                  name: audit-policy

Langkah 3. Verifikasi pengumpulan log

1. Masuk ke Konsol Simple Log Service.Masuk ke Konsol Security Center.Masuk ke Konsol Security Center.

2. Klik nama proyek yang dibuat selama instalasi Logtail.

3. Konfirmasi bahwa log audit mengalir ke Logstore yang diharapkan.

Langkah 4. Aktifkan deteksi ancaman di Security Center

1. Masuk ke Konsol Security CenterKonsol Security CenterKonsol Security Center. Di bilah navigasi atas, pilih China atau Outside China.

2. Di panel navigasi kiri, pilih Assets > Container.

3. Di tab Cluster, klik Self-built cluster access.

4. Temukan kluster dan klik Edit di kolom Actions.

5. Di tab Enable Log Collection, pilih Enable Kubernetes Log Reporting to Detect Threats, konfigurasikan parameter berikut, lalu klik Save.

   Parameter	Deskripsi	Contoh
   Region of Log Audit Service	Wilayah tempat Anda ingin menyimpan log	—
   Project of Log Audit Service	Proyek Simple Log Service yang dibuat selama instalasi Logtail	k8s-log-custom-sd89ehdq
   Logstore of Log Audit Service	Logstore yang dibuat otomatis selama instalasi Logtail	audit-027b007a7dd11967a9f7e2449d8dc497