Security Center:Register a self-managed K8s cluster

ハイブリッドクラウドデプロイメントのトラフィック転送の構成

クラスターがハイブリッドクラウドにデプロイされており、インターネット経由でアクセスできない場合は、ECS インスタンスでポート フォワーディングを構成し、クラスターの API サーバーを実行しているオンプレミスサーバーにトラフィックをルーティングします。この転送が構成されていない場合、クラスターは Security Center と通信できません。

以下の例では、ECS インスタンス 10.0.XX.XX のポート A から、オンプレミスサーバー 192.168.XX.XX のポート B へトラフィックを転送します。

CentOS 7 — firewall-cmd

firewall-cmd --permanent --add-forward-port=port=<Port A>:proto=tcp:toaddr=<192.168.XX.XX>:toport=<Port B>

CentOS 7 — iptables

# Enable IP forwarding
echo "1" > /proc/sys/net/ipv4/ip_forward

# Add the forwarding rule
iptables -t nat -A PREROUTING -p tcp --dport <Port A> -j DNAT --to-destination <192.168.XX.XX>:<Port B>

Windows — netsh

netsh interface portproxy add v4tov4 listenport=<Port A> listenaddress=* connectaddress=<192.168.XX.XX> connectport=<Port B> protocol=tcp

Security Center の IP アドレスのホワイトリストへの追加

クラスターでアクセスの制御ポリシーが設定されている場合は、ご利用のリージョンの Security Center の IP アドレスをホワイトリストに追加します。これらのアドレスがブロックされている場合、クラスターは Security Center と通信できません。

マスターノードとテイントされたノードの追加

生成されたコマンドは、デフォルトでは DaemonSet Pod をマスターノードまたはテイントされたノードにスケジュールしません。これらのノードを含めるには、kubectl apply を実行する前に、YAML ファイルの Pod テンプレートに Toleration を追加します。

マスターノードの場合 — spec > template > spec の下に以下を追加します。

spec:
  template:
    spec:
      tolerations:
      - key: node-role.kubernetes.io/master
        operator: Exists
        effect: NoSchedule

この Toleration により、DaemonSet Pod は node-role.kubernetes.io/master:NoSchedule Taint を持つノードにスケジュールされ、マスターノードがクラスターの一部として Security Center に追加されます。

その他のテイントされたノードの場合 — 各ノードタイプの Taint キーと効果に一致する同じ Toleration パターンを適用します。

ステップ 1. Logtail のインストール

「自己管理型 Kubernetes クラスターに Logtail コンポーネントをインストールする」の [Logtail のインストール] の手順に従ってください。

ステップ 2. クラスター監査の有効化

以下の手順は、「登録済みクラスターのクラスター監査を有効にする」に基づいています。

1. ACK One 登録済みクラスターを作成し、自己管理型 Kubernetes クラスターをそこに追加します。「ACK One 登録済みクラスターを作成する」をご参照ください。

2. 各マスターノードで、/etc/kubernetes/audit-policy.yaml を以下のポリシーで更新します。

   Kubernetes 1.24 より前のバージョンを実行しているクラスターの場合、apiVersion を audit.k8s.io/v1beta1 に設定します。1.24 以降の場合、audit.k8s.io/v1 を使用します。詳細については、「(非推奨) Kubernetes 1.24」をご参照ください。

               volumeMounts:
               - mountPath: /var/log/kubernetes
                 name: k8s-audit
               - mountPath: /etc/kubernetes/audit-policy.yaml
                 name: audit-policy
                 readOnly: true
             volumes:
             - hostPath:
                 path: /var/log/kubernetes
                 type: DirectoryOrCreate
               name: k8s-audit
             - hostPath:
                 path: /etc/kubernetes/audit-policy.yaml
                 type: FileOrCreate
               name: audit-policy

3. 各マスターノードで、/etc/kubernetes/manifests/kube-apiserver.yaml を更新します。

   1. 以下の --audit-log-* フラグを command セクションに追加します。

      spec:
        containers:
        - command:
          - kube-apiserver
          - --audit-log-maxbackup=10
          - --audit-log-maxsize=100
          - --audit-log-path=/var/log/kubernetes/kubernetes.audit
          - --audit-log-maxage=30
          - --audit-policy-file=/etc/kubernetes/audit-policy.yaml
          ...

   2. env セクションに次の環境変数を追加します。{cluster_id} を、Security Center コンソールの [クラスター] タブで確認できるクラスター ID に置き換えます。

                  env:
                  - name: aliyun_logs_audit-${cluster_id}
                    value: /var/log/kubernetes/kubernetes.audit
                  - name: aliyun_logs_audit-${cluster_id}_tags
                    value: audit=apiserver
                  - name: aliyun_logs_audit-${cluster_id}_product
                    value: k8s-audit
                  - name: aliyun_logs_audit-${cluster_id}_jsonfile
                    value: "true"

   3. 監査ログディレクトリとポリシーファイルを kube-apiserver Pod にマウントします。

                  volumeMounts:
                  - mountPath: /var/log/kubernetes
                    name: k8s-audit
                  - mountPath: /etc/kubernetes/audit-policy.yaml
                    name: audit-policy
                    readOnly: true
                volumes:
                - hostPath:
                    path: /var/log/kubernetes
                    type: DirectoryOrCreate
                  name: k8s-audit
                - hostPath:
                    path: /etc/kubernetes/audit-policy.yaml
                    type: FileOrCreate
                  name: audit-policy

ステップ 3. ログ収集の確認

1. Simple Log Service コンソールにログインします。 Security Center コンソールにログインします。 Security Center コンソールにログインします。

2. Logtail インストール中に作成されたプロジェクトの名前をクリックします。

3. 監査ログが予期される Logstore に流れていることを確認します。

ステップ 4. Security Center での脅威検知の有効化

1. セキュリティセンター コンソールにログインします。セキュリティセンター コンソールセキュリティセンター コンソールセキュリティセンター コンソール。上部ナビゲーションバーで、[中国] または [中国以外] を選択します。

2. 左側のナビゲーションウィンドウで、[資産] ＞ [コンテナ] を選択します。

3. 「[クラスター] タブで、[自作クラスターへのアクセス] をクリックします。

4. クラスターを探し、[アクション] 列の [編集] をクリックします。

5. [ログ収集の有効化] タブで、[脅威を検出するための Kubernetes ログレポートの有効化] を選択し、次のパラメーターを設定して、[保存] をクリックします。

   パラメーター	説明	例
   ログ監査サービスのリージョン	ログを保存するリージョン	—
   ログ監査サービスのプロジェクト	Logtail インストール中に作成された Simple Log Service プロジェクト	k8s-log-custom-sd89ehdq
   ログ監査サービスの Logstore	Logtail インストール中に自動的に作成された Logstore	audit-027b007a7dd11967a9f7e2449d8dc497