Security Center:自己管理型 Kubernetes クラスターを Security Center に追加する

ステップ 1. Logtail コンポーネントをインストールする

具体的な手順については、「自己管理型 Kubernetes クラスターに Logtail コンポーネントをインストールする」の「Logtail のインストール」をご参照ください。

ステップ 2. クラスター監査機能を有効にする

次のプロシージャは参考用です。詳細については、「クラスターのクラスター監査を有効にする」をご参照ください。

1. 登録済みクラスターを作成し、自己管理型 Kubernetes クラスターを登録済みクラスターに追加します。詳細については、「ACK One 登録済みクラスターを作成する」をご参照ください。

2. マスターノードの audit-policy.yaml ファイルを構成します。

   マスターノードにログインし、次のテンプレートに基づいて /etc/kubernetes/audit-policy.yaml ファイルを変更します。他のマスターノードでもこのステップを実行する必要があります。

   説明

   クラスターの Kubernetes バージョンが 1.24 より前の場合、apiVersion を audit.k8s.io/v1beta1 に設定します。それ以外の場合は、apiVersion を audit.k8s.io/v1 に設定します。詳細については、「(廃止) Kubernetes 1.24」をご参照ください。

   apiVersion: audit.k8s.io/v1beta1
   kind: Policy
   # RequestReceived ステージのすべてのリクエストに対して監査イベントを生成しません。
   omitStages:
     - "RequestReceived"
   rules:
     # 以下のリクエストは、手動で大量かつ低リスクとして識別されたため、
     # 破棄します。
     - level: None
       users: ["system:kube-proxy"]
       verbs: ["watch"]
       resources:
         - group: "" # コア
           resources: ["endpoints", "services"]
     - level: None
       users: ["system:unsecured"]
       namespaces: ["kube-system"]
       verbs: ["get"]
       resources:
         - group: "" # コア
           resources: ["configmaps"]
     - level: None
       users: ["kubelet"] # legacy kubelet identity
       verbs: ["get"]
       resources:
         - group: "" # コア
           resources: ["nodes"]
     - level: None
       userGroups: ["system:nodes"]
       verbs: ["get"]
       resources:
         - group: "" # コア
           resources: ["nodes"]
     - level: None
       users:
         - system:kube-controller-manager
         - system:kube-scheduler
         - system:serviceaccount:kube-system:endpoint-controller
       verbs: ["get", "update"]
       namespaces: ["kube-system"]
       resources:
         - group: "" # コア
           resources: ["endpoints"]
     - level: None
       users: ["system:apiserver"]
       verbs: ["get"]
       resources:
         - group: "" # コア
           resources: ["namespaces"]
     # これらの読み取り専用 URL はログに記録しません。
     - level: None
       nonResourceURLs:
         - /healthz*
         - /version
         - /swagger*
     # イベントリクエストはログに記録しません。
     - level: None
       resources:
         - group: "" # コア
           resources: ["events"]
     # Secret、ConfigMap、および TokenReview には機密データやバイナリデータが含まれる可能性があるため、
     # メタデータレベルでのみログに記録します。
     - level: Metadata
       resources:
         - group: "" # コア
           resources: ["secrets", "configmaps"]
         - group: authentication.k8s.io
           resources: ["tokenreviews"]
     # Get レスポンスは大きくなる可能性があるため、スキップします。
     - level: Request
       verbs: ["get", "list", "watch"]
       resources:
         - group: "" # コア
         - group: "admissionregistration.k8s.io"
         - group: "apps"
         - group: "authentication.k8s.io"
         - group: "authorization.k8s.io"
         - group: "autoscaling"
         - group: "batch"
         - group: "certificates.k8s.io"
         - group: "extensions"
         - group: "networking.k8s.io"
         - group: "policy"
         - group: "rbac.authorization.k8s.io"
         - group: "settings.k8s.io"
         - group: "storage.k8s.io"
     # 既知の API のデフォルトレベル
     - level: RequestResponse
       resources:
         - group: "" # コア
         - group: "admissionregistration.k8s.io"
         - group: "apps"
         - group: "authentication.k8s.io"
         - group: "authorization.k8s.io"
         - group: "autoscaling"
         - group: "batch"
         - group: "certificates.k8s.io"
         - group: "extensions"
         - group: "networking.k8s.io"
         - group: "policy"
         - group: "rbac.authorization.k8s.io"
         - group: "settings.k8s.io"
         - group: "storage.k8s.io"
     # 他のすべてのリクエストのデフォルトレベル
     - level: Metadata

3. マスターノードの kube-apiserver.yaml ファイルを構成します。

   マスターノードにログインし、次の説明に基づいて /etc/kubernetes/manifests/kube-apiserver.yaml ファイルを変更します。他のマスターノードでもこのステップを実行する必要があります。

   • command セクションに --audit-log-* パラメーターを追加します:

     ...
     spec:
       containers:
       - command:
         - kube-apiserver
         - --audit-log-maxbackup=10
         - --audit-log-maxsize=100
         - --audit-log-path=/var/log/kubernetes/kubernetes.audit
         - --audit-log-maxage=30
         - --audit-policy-file=/etc/kubernetes/audit-policy.yaml
         ...

   • env セクションに aliyun_logs_audit-* パラメーターを追加します。

     {cluster_id} をクラスターの ID に置き換える必要があります。クラスターの ID を取得するには、次の操作を実行します: Security Center コンソールにログインしますし、コンテナーページの [クラスター] タブを開きます。次の図は、クラスターの ID を取得する方法を示しています。

     ...
     spec:
       containers:
       - command:
         - kube-apiserver
         - --audit-log-maxbackup=10
         - --audit-log-maxsize=100
         - --audit-log-path=/var/log/kubernetes/kubernetes.audit
         - --audit-log-maxage=30
         - --audit-policy-file=/etc/kubernetes/audit-policy.yaml
         ...
         ...
         env:
         - name: aliyun_logs_audit-${cluster_id}
           value: /var/log/kubernetes/kubernetes.audit
         - name: aliyun_logs_audit-${cluster_id}_tags
           value: audit=apiserver
         - name: aliyun_logs_audit-${cluster_id}_product
           value: k8s-audit
         - name: aliyun_logs_audit-${cluster_id}_jsonfile
           value: "true"
         image: registry-vpc.cn-shenzhen.aliyuncs.com/acs/kube-apiserver:v1.20.4-aliyun.1

   • 次のテンプレートを使用して、/etc/kubernetes/audit-policy.yaml を kube-apiserver の Pod にマウントします:

     ...
     spec:
       containers:
       - command:
         - kube-apiserver
         - --audit-log-maxbackup=10
         - --audit-log-maxsize=100
         - --audit-log-path=/var/log/kubernetes/kubernetes.audit
         - --audit-log-maxage=30
         - --audit-policy-file=/etc/kubernetes/audit-policy.yaml
         ...
         ...
         env:
         - name: aliyun_logs_audit-${cluster_id}
           value: /var/log/kubernetes/kubernetes.audit
         - name: aliyun_logs_audit-${cluster_id}_tags
           value: audit=apiserver
         - name: aliyun_logs_audit-${cluster_id}_product
           value: k8s-audit
         - name: aliyun_logs_audit-${cluster_id}_jsonfile
           value: "true"
         image: registry-vpc.cn-shenzhen.aliyuncs.com/acs/kube-apiserver:v1.20.4-aliyun.1
         ...
         ...
         volumeMounts:
         - mountPath: /var/log/kubernetes
           name: k8s-audit
         - mountPath: /etc/kubernetes/audit-policy.yaml
           name: audit-policy
           readOnly: true
         ...
         ...
       volumes:
       - hostPath:
           path: /var/log/kubernetes
           type: DirectoryOrCreate
         name: k8s-audit
       - hostPath:
           path: /etc/kubernetes/audit-policy.yaml
           type: FileOrCreate
         name: audit-policy
       ...

ステップ 3. ログが収集されているか確認する

1. Simple Log Service コンソールにログインします。

2. 必要なプロジェクトの名前をクリックします。

3. 関連するログがプロジェクト内の指定された Logstore に収集されているかどうかを確認します。

ステップ 4. 脅威検出を有効にする

1. Security Center コンソールにログインします。上部のナビゲーションバーで、管理するアセットのリージョンを選択します。中国 または 全世界 (中国を除く) を選択できます。

2. 左側のナビゲーションウィンドウで、アセットセンター > コンテナアセット を選択します。

3. Cluster タブで、Self-built cluster access をクリックします。

4. 必要な自己管理型 Kubernetes クラスターを見つけ、操作する 列の 編集 をクリックします。

5. Enable Log Collection タブで、Enable Kubernetes Log Reporting to Detect Threats を選択し、次のパラメーターを構成してから、保存 をクリックします。

   • Region of Log Audit Service: ログを保存するリージョンを選択します。

   • Project of Log Audit Service: ステップ 1. Logtail コンポーネントをインストールする で作成したプロジェクトの名前を入力します。例: k8s-log-custom-sd89ehdq。

   • Logstore of Log Audit Service: ステップ 1. Logtail コンポーネントをインストールする で自動的に作成される Logstore の名前を入力します。例: audit-027b007a7dd11967a9f7e2449d8dc497。