Configure pod-level container security policies - Container Compute Service: Central de Documentação do Alibaba Cloud

O componente Gatekeeper permite ativar ou personalizar políticas de segurança no console do Container Service for Kubernetes (ACK) para verificar se as implantações e atualizações de pods são seguras e estão em conformidade.

Governança de políticas

A Pod Security Policy (PSP) foi descontinuada a partir do Kubernetes v1.21. O ACK redesenhou seu recurso de gerenciamento de políticas baseado em PSP. Construído sobre o controlador de admissão Gatekeeper, que utiliza políticas do Open Policy Agent (OPA), o ACK agora oferece capacidades aprimoradas, como monitoramento do status de governança de políticas, além de relatórios e recuperação de logs. O ACK também inclui uma biblioteca integrada abrangente de regras de governança de políticas que cobre uma ampla variedade de cenários de aplicação do Kubernetes. Configure essas regras por meio de uma interface simples no console para facilitar o uso dos recursos de governança de políticas.

Pré-requisitos

Um cluster ACK criado. Para mais informações, consulte Criar um cluster ACK.
Caso utilize um usuário RAM para gerenciar políticas, garanta que ele tenha as seguintes permissões:
- cs:DescribePolicies: Lista as regras na biblioteca de governança de políticas.
- cs:DescribePolicyDetails: Obtém os detalhes de um modelo de regra de política.
- cs:DescribePolicyGovernanceInCluster: Obtém os detalhes da governança de políticas de um cluster.
- cs:DescribePolicyInstances: Obtém a lista de instâncias de política implantadas em um cluster.
- cs:DescribePolicyInstancesStatus: Obtém o status de implantação de instâncias para diferentes tipos de política em um cluster.
- cs:DeployPolicyInstance: Implanta uma instância de regra de política em um cluster especificado.
- cs:DeletePolicyInstance: Exclui uma instância de regra de política de um cluster especificado.
- cs:ModifyPolicyInstance: Modifica uma instância de regra de política em um cluster especificado.
Para obter informações sobre como criar uma política RAM personalizada, consulte Conceder permissões a um usuário RAM ou função RAM.

Limitações

Este recurso aplica-se apenas a nós Linux.
Não há suporte para regras de política personalizadas. Todas as regras provêm da biblioteca de regras integrada do ACK.

Etapa 1: Instalar ou atualizar componentes de governança de políticas

Para ativar o recurso de governança de políticas de segurança, instale os seguintes componentes:

Componente gatekeeper: controlador de admissão de políticas do Kubernetes baseado no mecanismo de políticas OPA. Ele gerencia e aplica políticas OPA dentro do seu cluster e implementa recursos como gerenciamento de rótulos de namespace.

Nota
Há suporte apenas para o componente gatekeeper fornecido pelo ACK. Se você instalou um componente gatekeeper de outra source, desinstale-o e reinstale a versão fornecida pelo ACK. Para informações sobre versões do componente gatekeeper, consulte gatekeeper.
Componente de log logtail-ds: Coleta e recupera logs de eventos deny e warn resultantes de violações de política.
Componente policy-template-controller: controlador do Kubernetes desenvolvido com base em modelos de política da Alibaba Cloud. Ele simplifica o gerenciamento de instâncias de política de diferentes modelos e ajuda a monitorar o status geral de governança do cluster.

Faça login no console ACS. No painel de navegação à esquerda, clique em Clusters.
Na página Clusters, clique no nome do cluster desejado. No painel de navegação à esquerda, escolha Security > Policy Governance.
Na página Policy Governance, siga as instruções na tela para instalar ou atualizar os componentes.

Etapa 2: Usar o recurso de governança de políticas

Acessar o recurso

Faça login no console ACS. No painel de navegação à esquerda, clique em Clusters.
Na página Clusters, clique no nome do cluster desejado. No painel de navegação à esquerda, escolha Security > Policy Governance.
Na página Policy Governance, siga as instruções na tela para instalar ou atualizar componentes, se solicitado. Em seguida, execute as operações conforme necessário.

Visualize o status da governança de políticas

Clique na aba Overview para visualizar o status atual da governança de políticas do cluster.

Esta seção fornece uma visão geral das políticas ativadas. Inclui as contagens totais e ativas para políticas de alto e médio risco, além de uma lista de políticas recomendadas para ativação.
Estatísticas sobre ações deny e warn dos últimos 7 dias.
Registros de aplicação de políticas dos últimos 7 dias. Por padrão, a tabela nesta página exibe os 100 logs mais recentes de deny ou warn dos últimos 7 dias. Para visualizar mais logs de auditoria, clique no ícone ao lado de Actions within Last 7 Days e clique no link do Log Service na janela pop-up para visualizar todos os logs no Logstore especificado no console do Log Service (SLS). A tabela na parte inferior da página inclui as seguintes colunas: Enforcement Time, Policy Type, Policy Name, Policy Description, Risk Level, Enforcement Action e Details.

Crie e gerencie instâncias de política

Clique na aba My Policies e, em seguida, clique em Create Policy Instance. Na caixa de diálogo Create Policy Instance, configure os parâmetros.

Parâmetro	Descrição
Policy Type	Selecione um tipo de política. As categorias disponíveis são: Infra: Políticas relacionadas a recursos de nível de infraestrutura. Compliance: Políticas personalizadas com base em padrões de conformidade do Kubernetes, como Alibaba Cloud K8s Reinforcement. PSP: Políticas que substituem a funcionalidade da Pod Security Policy (PSP). K8s-general: Políticas gerais para reforçar a segurança das configurações de recursos do Kubernetes com base nas melhores práticas de segurança.
Action	`deny`: Bloqueia a implantação de recursos especificados que violam a regra da política. `warn`: Permite a implantação de recursos especificados que violam a regra da política, mas gera um log de aviso para a violação.
Policy Name	Na lista suspensa, selecione o modelo de política a ser implantado.
Applicable Scope	Selecione os namespaces no cluster onde a instância de política será aplicada.
Parameters	Se a caixa de entrada do parâmetro estiver vazia, nenhuma configuração é necessária. Caso a caixa de entrada contenha um modelo de parâmetro, configure os parâmetros no formato especificado de acordo com as descrições dos parâmetros.

Visualize lista de políticas e instâncias

Clique na aba My Policies para visualizar todas as políticas implantáveis para o cluster.

Filtre as políticas exibidas usando os controles no canto superior direito da lista. Por padrão, as políticas ativadas aparecem primeiro. A coluna Policy Instances mostra o número de instâncias de uma política implantadas no cluster.

Se a contagem de Policy Instances for zero, a política não foi implantada no cluster. Clique em Enable na coluna Actions para configurar e implantar a instância da política. A lista de políticas inclui as colunas Policy type, Policy name, Description, Risk level, Policy instances e Actions. Para políticas inativas, a coluna Actions exibe um link Enable. A parte superior da página também mostra uma divisão estatística das políticas por nível de risco: High, Medium e Low.

Clique em Edit na coluna Actions para modificar a configuração de uma instância de política.

Se uma política tiver várias instâncias implantadas, clique em View Instances na coluna Actions e, em seguida, clique em Edit para modificar uma instância específica.
Clique em Delete na coluna Actions para excluir todas as instâncias implantadas da política no cluster.

Para mais informações sobre descrições de políticas e exemplos de modelos, consulte Biblioteca de regras de política de segurança de contêineres.

Tópicos relacionados

Para mais informações sobre os quatro tipos de bibliotecas de regras integradas com suporte na governança de políticas (Compliance, Infra, K8s-general e PSP), consulte Biblioteca de regras de política de segurança de contêineres.