Usar nós do GKE protegidos

Esta página mostra como usar a funcionalidade nós do GKE protegidos. Os nós do GKE protegidos oferecem uma identidade e uma integridade de nós fortes e validáveis para aumentar a segurança dos nós do Google Kubernetes Engine (GKE).

Para clusters do GKE Autopilot, a funcionalidade de nós do GKE protegidos está ativada por predefinição e não pode ser substituída. Para clusters padrão do GKE, a funcionalidade Nódulos do GKE protegidos está ativada por predefinição, mas pode ser substituída.

Acerca dos nós do GKE protegidos

Os nós do GKE protegidos são criados com base nas VMs protegidas do Compute Engine. Sem os nós do GKE protegidos, um atacante pode explorar uma vulnerabilidade num pod para roubar credenciais de arranque e roubar a identidade de nós no seu cluster, dando aos atacantes acesso a segredos do cluster. Quando os nós do GKE protegidos estão ativados, o plano de controlo do GKE verifica criptograficamente que:

• Cada nó no seu cluster é uma máquina virtual executada no centro de dados da Google.
• Cada nó faz parte do grupo de instâncias geridas (GIG) aprovisionado para o cluster.
• O kubelet está a receber um certificado para o nó no qual está a ser executado.

Isto limita a capacidade de um atacante roubar a identidade de um nó no seu cluster, mesmo que consiga roubar as credenciais de arranque do nó.

Os nós do painel de controlo do cluster do GKE usam sempre nós do GKE protegidos, mesmo que desative a funcionalidade no seu cluster. A ativação ou a desativação dos nós do GKE protegidos afeta apenas se os nós de trabalho que executam as suas cargas de trabalho usam a funcionalidade.

Preços

Não existem custos adicionais para executar nós do GKE protegidos. No entanto, os nós do GKE protegidos geram cerca de 0,5 KB mais registos no arranque do que os nós padrão. Consulte a página de preços do Cloud Logging para ver detalhes.

Antes de começar

Antes de começar, certifique-se de que realizou as seguintes tarefas:

• Ative a API Google Kubernetes Engine.
Ative a API Google Kubernetes Engine
• Se quiser usar a CLI gcloud para esta tarefa, instale-a e, em seguida, inicialize-a. Se instalou anteriormente a CLI gcloud, execute gcloud components update para obter a versão mais recente.

Ativar nós do GKE protegidos num novo cluster

Pode criar um novo cluster com os nós do GKE protegidos ativados através da CLI gcloud ou da Trusted Cloud consola.

gcloud container clusters create CLUSTER_NAME \
    --enable-shielded-nodes

Ativar nós do GKE protegidos num cluster existente

Pode ativar os nós do GKE protegidos num cluster existente através da CLI Google Cloud ou da Trusted Cloud consola.

Como o GKE ativa os nós do GKE protegidos

Depois de ativar os nós do GKE protegidos, os nós de trabalho são recriados como VMs protegidas. Os nós do cluster são recriados de forma contínua para minimizar o tempo de inatividade.

Depois de ativar os nós do GKE protegidos, o GKE atualiza o cluster com os seguintes passos:

• O GKE recria imediatamente o plano de controlo, ignorando a disponibilidade de manutenção.
• O GKE recria os nós de trabalho como VMs protegidas, respeitando a disponibilidade de manutenção. O GKE usa atualizações rápidas para atualizar cada um dos conjuntos de nós. Isto depende da disponibilidade de recursos. A desativação das atualizações automáticas de nós não impede esta alteração.

Para ver detalhes acerca desta alteração específica, encontre a linha correspondente na tabela alterações manuais que recriam os nós através de uma estratégia de atualização de nós e respeitam as políticas de manutenção. Para saber mais sobre as atualizações de nós, consulte o artigo Planeamento de interrupções de atualizações de nós.

Ative os nós do GKE protegidos

gcloud container clusters update CLUSTER_NAME \
    --enable-shielded-nodes

Validar se os nós do GKE protegidos estão ativados

Valide se o cluster está a usar nós do GKE protegidos com a CLI do Google Cloud ou a Trusted Cloud consola.

gcloud container clusters describe CLUSTER_NAME

shieldedNodes:
  enabled: true

Também pode monitorizar a integridade das VMs protegidas subjacentes dos seus nós. Consulte o artigo Monitorizar a integridade em instâncias de VMs protegidas para ver o procedimento.

Desativar nós do GKE protegidos

Pode desativar os nós do GKE protegidos com a CLI do Google Cloud ou a Trusted Cloud consola.

Como o GKE desativa os nós do GKE protegidos

Depois de desativar os nós do GKE protegidos, o GKE atualiza o cluster com os seguintes passos:

• O GKE recria imediatamente o plano de controlo, ignorando a disponibilidade de manutenção.
• O GKE recria os nós de trabalho como VMs não protegidas, respeitando a disponibilidade de manutenção. O GKE usa atualizações rápidas para atualizar cada um dos conjuntos de nós. Isto depende da disponibilidade de recursos. A desativação das atualizações automáticas de nós não impede esta alteração.

Para ver detalhes acerca desta alteração específica, encontre a linha correspondente na tabela alterações manuais que recriam os nós através de uma estratégia de atualização de nós e respeitam as políticas de manutenção. Para saber mais sobre as atualizações de nós, consulte o artigo Planeamento de interrupções de atualizações de nós.

Desative os nós do GKE protegidos

gcloud container clusters update CLUSTER_NAME \
    --no-enable-shielded-nodes

Integridade do nó

Opcionalmente, pode configurar verificações de integridade dos nós em conjuntos de nós para oferecer proteção melhorada contra rootkits e bootkits para os seus nós. Os nós do GKE protegidos, o arranque seguro e a monitorização da integridade são funcionalidades independentes que podem ser ativadas ou desativadas individualmente.

Arranque seguro

O arranque seguro é uma definição do conjunto de nós que autentica os componentes de arranque das suas VMs de nós, como o kernel e o carregador de arranque, durante o processo de arranque. O arranque seguro está desativado por predefinição nos conjuntos de nós.

Antes de ativar o arranque seguro nos seus conjuntos de nós, considere o seguinte:

• A ativação do arranque seguro em nós do Ubuntu impede o carregamento de módulos do kernel de terceiros não assinados nesses nós.
• A ativação do arranque seguro em nós do SO otimizado para contentores não tem efeito no carregamento de módulos do kernel, porque as imagens dos nós do SO otimizado para contentores controlam a capacidade de carregar módulos do kernel de terceiros separadamente do arranque seguro.

Para ativar o arranque seguro, use a Google Cloud CLI ou a Trusted Cloud consola.

gcloud container clusters create CLUSTER_NAME \
    --shielded-secure-boot

gcloud container node-pools create POOL_NAME \
    --shielded-secure-boot

Monitorização da integridade

A monitorização da integridade é uma definição do conjunto de nós ativada por predefinição no GKE. Pode desativar a monitorização da integridade com a CLI do Google Cloud ou a Trusted Cloud consola.

gcloud container node-pools create POOL_NAME \
    --no-shielded-integrity-monitoring

O que se segue?

• Saiba mais sobre a VM protegida.
• Saiba mais sobre as imagens de nós.