Uso de Políticas de Segurança com Kubernetes Engine (OKE)

Para criar uma política de segurança de pod para pods de aplicativo, crie uma atribuição para acessar a política de segurança de pod e crie um rolebinding para ativar os pods de aplicativo para usar a política de segurança de pod:

1. Crie a política de segurança de pod para pods de aplicativo:

   1. Defina e salve a política de segurança de pod em um arquivo. Por exemplo, em acme-app-psp.yaml).

      Por exemplo, esta política (obtida da documentação do Kubernetes) simplesmente impede a criação de pods privilegiados:

      
      apiVersion: policy/v1beta1
      kind: PodSecurityPolicy
      metadata:
        name: acme-app-psp
      spec:
        privileged: false  # Don't allow privileged pods!
        # The rest fills in some required fields.
        seLinux:
          rule: RunAsAny
        supplementalGroups:
          rule: RunAsAny
        runAsUser:
          rule: RunAsAny
        fsGroup:
          rule: RunAsAny
        volumes:
        - '*'

   2. Informe o seguinte comando para criar a política de segurança pod:

      kubectl create -f <filename>.yaml

      Por exemplo:

      kubectl create -f acme-app-psp.yaml

2. Crie a atribuição (ou clusterrole) para acessar a política de segurança de pod:

   1. Defina e salve uma atribuição (ou clusterrole) em um arquivo. Por exemplo, em acme-app-psp-crole.yaml.

      Por exemplo:

      # Cluster role which grants access to the app pod security policy
      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRole
      metadata:
        name: acme-app-psp-crole
      rules:
      - apiGroups:
        - policy
        resourceNames:
        - acme-app-psp
        resources:
        - podsecuritypolicies
        verbs:
        - use
      

   2. Informe o seguinte comando para criar a atribuição (ou clusterrole):

      kubectl create -f <filename>.yaml

      Por exemplo:

      kubectl create -f acme-app-psp-crole.yaml

3. Crie o rolebinding (ou clusterrolebinding) para autorizar os pods do aplicativo a usar a política de segurança de pod:

   1. Defina e salve o rolebinding (ou clusterrolebinding) em um arquivo. Por exemplo, em acme-app-psp-crole-bind.yaml.

      Por exemplo:

      
      # Role binding which grants access to the app pod security policy
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding
      metadata:
        name: acme-app-psp-binding
        namespace: acme-namespace
      roleRef:
        apiGroup: rbac.authorization.k8s.io
        kind: ClusterRole
        name: acme-app-psp-crole
      subjects:
      # For all service accounts in acme-namespace
      - apiGroup: rbac.authorization.k8s.io
        kind: Group
        name: system:serviceaccounts:acme-namespace

   2. Informe o seguinte comando para criar o rolebinding (ou clusterrolebinding):

      kubectl create -f <filename>.yaml

      Por exemplo:

      kubectl create -f acme-app-psp-crole-bind.yaml

Depois de definir uma política de segurança de pod e autorizar os pods de aplicativos a usá-la, criando uma atribuição e um rolebinding (ou um clusterrole e clusterrolebinding), ative o controlador de admissão PodSecurityPolicy do cluster para impor a política de segurança de pod (se não estiver ativada ainda).

Para ativar o controlador de admissão PodSecurityPolicy ao criar novos clusters usando a Console:

1. Faça log-in na Console.

2. Siga as instruções para criar um novo cluster em Usando a Console para criar um Cluster com Definições Explicitamente Definidas no workflow 'Criação Personalizada', selecione Mostrar Opções Avançadas e selecione a opção Políticas de Segurança do Pod - Aplicadas. Esta opção ativa o controlador de admissão PodSecurityPolicy.

   Nenhum pod de aplicativo será aceito no novo cluster, a menos que existam políticas de segurança de pod adequadas, juntamente com atribuições (ou clusterroles) e rolebindings (ou clusterrolebindings) para associar pods a políticas.

3. Siga as instruções para definir os detalhes restantes do cluster e selecione Criar Cluster para criar o novo cluster.

4. Siga as instruções em Criando uma Política de Segurança de Pod para Pods de Aplicativos para criar políticas de segurança de pod para o controlador de admissão PodSecurityPolicy a serem impostas ao aceitar pods no novo cluster.

Para ativar o controlador de admissão PodSecurityPolicy em clusters existentes usando a Console:

1. Siga as instruções em Criando uma Política de Segurança de Pod para Pods de Aplicativos para criar políticas de segurança de pod para o controlador de admissão PodSecurityPolicy a serem impostas ao aceitar pods no cluster existente.

   Recomendamos que você primeiro verifique as políticas de segurança de pod em um ambiente de desenvolvimento ou teste. Dessa forma, poderá ter certeza de que as políticas de segurança do pod funcionam conforme esperado e permitir (ou recusar) corretamente o início de pods no cluster.

2. Abra o menu de navegação e selecione Serviços ao Desenvolvedor. Em Contêineres e Artefatos, selecione Clusters do Kubernetes (OKE).
3. Escolha um Compartimento no qual você tem permissão para trabalhar.
4. Na página Lista de Cluster, selecione o nome do cluster que deseja modificar.
5. Na guia Detalhes do Cluster, selecione Não Aplicado ao lado de Políticas de Segurança do Pod.

6. Na janela Políticas de Segurança de Pod, selecione Imposta.

   A partir de agora, nenhum novo pod de aplicativo será aceito no novo , a menos que existam políticas de segurança de pod adequadas, com atribuições (ou clusterroles) e rolebindings (ou clusterrolebindings) para associar pods a políticas. Observe que todos os pods em execução no momento continuarão a ser executados, independentemente.

7. Selecione Salvar Alterações.

Para desativar o controlador de admissão PodSecurityPolicy em clusters nos quais ele foi ativado anteriormente:

1. Abra o menu de navegação e selecione Serviços ao Desenvolvedor. Em Contêineres e Artefatos, selecione Clusters do Kubernetes (OKE).
2. Escolha um Compartimento no qual você tem permissão para trabalhar.
3. Na página Lista de Cluster, selecione o nome do cluster que deseja modificar.
4. Na guia Detalhes do Cluster, selecione Imposto ao lado de Políticas de Segurança do Pod.

5. Na janela Políticas de Segurança do Pod, selecione Não Aplicado.

   A partir de agora, novos pods de aplicativo serão aceitos no cluster sem a necessidade de políticas de segurança de pod, atribuições (ou clusterroles) e rolebins (ou clusterrolebindings). Observe que todos os pods em execução no momento continuarão a ser executados, independentemente.

6. Selecione Salvar Alterações.

Para obter informações sobre como usar a API e assinar solicitações, consulte a documentação da API REST e Credenciais de Segurança. Para obter informações sobre SDKs, consulte SDKs e a CLI.

Para ativar o controlador de admissão PodSecurityPolicy, use a:

• OperaçãoCreateCluster ao criar novos clusters
• OperaçãoUpdateCluster ao modificar clusters existentes

A política de segurança de pod, bem como o clusterrole e o clusterrolebinding associados, para pods privilegiados do sistema Kubernetes são criados automaticamente quando você ativa o controlador de admissão PodSecurityPolicy de um cluster. Eles permitem a execução de qualquer pod no namespace kube-system. Eles são criados com base em definições no arquivo kube-system.yaml mostrado abaixo:

apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
  annotations:
    # See https://kubernetes.io/docs/concepts/policy/pod-security-policy/#seccomp
    seccomp.security.alpha.kubernetes.io/allowedProfileNames: '*'
  name: oke-privileged
spec:
  allowedCapabilities:
  - '*'
  allowPrivilegeEscalation: true
  fsGroup:
    rule: 'RunAsAny'
  hostIPC: true
  hostNetwork: true
  hostPID: true
  hostPorts:
  - min: 0
    max: 65535
  privileged: true
  readOnlyRootFilesystem: false
  runAsUser:
    rule: 'RunAsAny'
  seLinux:
    rule: 'RunAsAny'
  supplementalGroups:
    rule: 'RunAsAny'
  volumes:
  - '*'
  
---
  
# Cluster role which grants access to the privileged pod security policy
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: oke-privileged-psp
rules:
- apiGroups:
  - policy
  resourceNames:
  - oke-privileged
  resources:
  - podsecuritypolicies
  verbs:
  - use
  
---
  
# Role binding for kube-system - allow kube-system service accounts - should take care of CNI i.e. flannel running in the kube-system namespace
# Assumes access to the kube-system is restricted
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: kube-system-psp
  namespace: kube-system
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: oke-privileged-psp
subjects:
# For all service accounts in the kube-system namespace
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: system:serviceaccounts:kube-system