Einige oder alle Informationen auf dieser Seite gelten möglicherweise nicht für Cloud de Confiance von S3NS. Weitere Informationen finden Sie unter Unterschiede zu Google Cloud.

Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Wiz Runtime Sensor in GKE-Clustern installieren

Autopilot Standard

Der Wiz Runtime Sensor ist eine Komponente der Wiz-Kernplattform, die Funktionen zur Bedrohungserkennung und ‑abwehr in Echtzeit für Laufzeitarbeitslasten bietet. Sie können den Runtime Sensor in Google Kubernetes Engine-Clustern (GKE) als verwaltetes Add-on installieren. In diesem Dokument wird Plattformadministratoren und Sicherheitsexperten gezeigt, wie sie das Runtime Sensor-Add-on installieren, den Zugriff auf die Wiz-Plattform konfigurieren und die Installation des Runtime Sensor in ihrer Organisation, ihrem Ordner oder ihrem Projekt erzwingen.

Sie sollten bereits mit dem Wiz Runtime Sensor vertraut sein.

Wann sollte das Runtime Sensor-Add-on verwendet werden?

Die Methode zur Installation verwalteter Add-ons ist eine integrierte Alternative zur Installation des Runtime Sensor mit Installationsmethoden wie einem Helm-Diagramm. Das Runtime Sensor-Add-on bietet folgende Vorteile:

GKE installiert die Komponenten und verwaltet die meisten Konfigurationsaufgaben. Dadurch wird der Aufwand und die Komplexität der Installation des Runtime Sensor im Vergleich zur Verwendung des Helm-Diagramms reduziert.
Mit dem Organisationsrichtliniendienst können Sie die Aktivierung des Add-ons in Ihrer Organisation, Ihren Ordnern oder Projekten erzwingen.
Das Add-on wird in Autopilot-Clustern und neben Autopilot-Arbeitslasten in Standardclustern ausgeführt, ohne dass Sie den Runtime Sensor einer Zulassungsliste hinzufügen müssen.
Alle Aktualisierungen der Runtime Sensor-Komponenten sind unabhängig von GKE-Patchversion-Upgrades.

Sie können den Runtime Sensor auch mit dem Helm-Diagramm in Ihren Clustern installieren. Wenn Sie diese Methode verwenden, haben Sie mehr Flexibilität bei der Anpassung der Sensorkonfiguration. Diese Methode erfordert jedoch mehr manuelle Konfiguration bei der Installation und ist im Vergleich zur Verwendung des Add-ons schwieriger im großen Maßstab zu erzwingen. Wenn Sie den Runtime Sensor mit dem Helm-Diagramm installieren, werden die Komponenten nicht von GKE verwaltet. Wenn Sie das GKE-Add-on nicht verwenden, melden Sie alle Probleme mit dem Runtime Sensor, z. B. Fehler oder Inkompatibilitäten, direkt an Wiz.

Funktionsweise

Sie installieren das Add-on in bestimmten Clustern mit der GKE API. Wenn Sie das Add-on aktivieren, erstellt GKE den Namespace gke-managed-wiz und installiert die Runtime Sensor-Komponenten. GKE benötigt Zugriff auf die private Container-Registry von Wiz, um Images für den Runtime Sensor abzurufen.

Nach der Installation benötigt der Runtime Sensor Zugriff auf die Wiz API, um Informationen an die Wiz-Plattform zu senden. Um GKE und dem Runtime Sensor den erforderlichen Zugriff zu gewähren, geben Sie die folgenden Informationen als Secrets im Namespace gke-managed-wiz an:

Anmeldedaten für den Zugriff auf die Wiz-Container-Registry und zum Abrufen des Runtime Sensor-Images.
Konfigurationsinformationen für den Runtime Sensor, z. B. Anmeldedaten für die Wiz API und umgebungsspezifische Variablen.

Sie können diese Secrets manuell erstellen oder die Informationen in Cloud de Confiance by S3NS Secret Manager hochladen. Dort werden die Secrets automatisch erstellt, Versionen in regelmäßigen Abständen rotiert und Updates für bereitgestellte Secrets eingeführt.

Preise

Das Wiz Runtime Sensor-Add-on ist in GKE ohne zusätzliche Kosten verfügbar. Dabei gilt Folgendes:

Sie benötigen eine aktive Wiz Runtime Sensor-Lizenz. Weitere Informationen finden Sie unter Wiz-Preise.
Die Runtime Sensor-Komponenten werden auf Ihren Knoten ausgeführt und verbrauchen CPU- und Arbeitsspeicherressourcen. Dadurch sind möglicherweise mehr Knoten erforderlich, um alle Pods in Ihrem Cluster unterzubringen.
Wenn Sie Secret Manager zum Speichern Ihrer Wiz-Anmeldedaten und ‑Konfigurationen verwenden, gelten die Preise für Secret Manager.

Beschränkungen

Für die Verwendung des Add-ons gelten die folgenden Einschränkungen:

Wenn Sie die Anmeldedaten für die Wiz-Registry oder die Wiz API in den bereitgestellten Secrets aktualisieren, müssen Sie das Runtime Sensor-DaemonSet mit dem Befehl kubectl rollout restart manuell neu starten.
Um den Runtime Sensor zu installieren, müssen Sie die Anmeldedaten der Wiz-Registry Ihres Mandanten als Kubernetes-Secret oder in Secret Manager hochladen.
Wenn Sie private Knoten verwenden, müssen Sie den ausgehenden Zugriff auf die Wiz-Container-Registry (registry.wiz.io) mit Cloud NAT konfigurieren.
Das verwaltete GKE-Add-on unterstützt nur die folgenden optionalen Konfigurationsparameter für den Runtime Sensor:
- httpProxyConfiguration.httpsProxy
- httpProxyConfiguration.caCertificate
- httpProxyConfiguration.clientCertificate

Wenn Sie einen der anderen Konfigurationsparameter verwenden möchten, installieren Sie den Runtime Sensor mit dem Helm-Diagramm.

Hinweis

Führen Sie die folgenden Aufgaben aus, bevor Sie beginnen:

Aktivieren Sie die Google Kubernetes Engine API.

Google Kubernetes Engine API aktivieren

Wenn Sie die Google Cloud CLI für diese Aufgabe verwenden möchten, installieren und dann initialisieren Sie die gcloud CLI. Wenn Sie die gcloud CLI bereits installiert haben, rufen Sie die neueste Version mit dem gcloud components update Befehl ab. Ältere gcloud CLI-Versionen unterstützen möglicherweise nicht die Ausführung der Befehle in diesem Dokument.
Hinweis: Legen Sie für vorhandene Installationen der gcloud CLI das Attribut compute/region fest. Wenn Sie hauptsächlich zonale Cluster verwenden, legen Sie stattdessen compute/zone fest. Wenn Sie einen standardmäßigen Speicherort festlegen, können Sie in der gcloud CLI Fehler wie diesen vermeiden: One of [--zone, --region] must be supplied: Please specify location. Bei bestimmten Befehlen müssen Sie möglicherweise den Speicherort angeben, wenn er sich von dem von Ihnen festgelegten Standard unterscheidet.

Erstellen Sie einen Autopilot-Cluster oder einen Standardcluster für den Workload Identity Federation for GKE aktiviert ist und auf dem GKE Version 1.36.4-gke.1495000 oder höher ausgeführt wird.

Erforderliche Rollen

Um das Runtime Sensor-Add-on für GKE zu aktivieren und zu konfigurieren, benötigen Sie die folgenden Rollen für das Projekt: Cloud de Confiance

GKE-Cluster konfigurieren: Kubernetes Engine-Clusteradministrator (roles/container.clusterAdmin) für das Cloud de Confiance Projekt.
API-Anmeldedaten und Konfigurationsdateien in Secret Manager hochladen: Secret Manager-Bearbeiter (roles/secretmanager.editor) für das Cloud de Confiance Projekt.
IAM-Rollen (Identity and Access Management) für das Kubernetes-Dienstkonto gewähren, das vom Runtime Sensor verwendet wird: Secret Manager-Administrator (roles/secretmanager.admin) für das Cloud de Confiance Projekt.
Organisationsrichtlinie konfigurieren: Administrator für Organisationsrichtlinien (roles/orgpolicy.policyAdmin) für Ihre Organisation.

Sie benötigen außerdem Zugriff auf einen Wiz-Mandanten, um Anmeldedaten für die Wiz-Container-Registry abzurufen und ein OAuth-Token für die Wiz API zu generieren.

Wiz-Anmeldedaten und ‑Konfigurationsdateien vorbereiten

Um den Runtime Sensor zu installieren und Informationen an die Wiz-Plattform zu senden, müssen Sie Anmeldedaten für den Zugriff auf die private Registry von Wiz und die Wiz API angeben. Führen Sie dazu die folgenden Schritte aus:

Suchen Sie die Anmeldedaten für die Wiz-Container-Registry für die registry.wiz.io Registry.
Erstellen Sie einen base64-codierten String, der die Anmeldedaten der Registry in einer Struktur enthält, die von Kubernetes geparst werden kann:
```
echo -n 'WIZ_REGISTRY_USERNAME:WIZ_REGISTRY_PASSWORD' | base64 | tr -d '\n'
```
Ersetzen Sie Folgendes:
- WIZ_REGISTRY_USERNAME: der Nutzername für die Wiz-Container-Registry.
- WIZ_REGISTRY_PASSWORD: das Passwort für die Wiz-Container-Registry.
Die Ausgabe sieht etwa so aus:
```
aGVsbG86d29ybGQ=
```

Speichern Sie die Informationen als JSON-Datei:

{
  "auths": {
    "registry.wiz.io": {
      "username": "WIZ_REGISTRY_USERNAME",
      "password": "WIZ_REGISTRY_PASSWORD",
      "auth": "BASE64_ENCODED_CREDENTIALS"
    }
  }
}

Ersetzen Sie BASE64_ENCODED_CREDENTIALS durch den codierten String aus dem vorherigen Schritt.

Erstellen Sie ein Wiz-Dienstkonto und kopieren Sie die folgenden Informationen:
- Die Client-ID, die Sie auch im Wiz-Portal auf der Seite Service Accounts (Dienstkonten) finden.
- Das Clientschlüssel, das nur beim Erstellen des Dienstkontos sichtbar ist.
Erstellen Sie eine YAML-Konfigurationsdatei für den Runtime Sensor:
```
clientId: "WIZ_CLIENT_ID"
clientToken: "WIZ_CLIENT_SECRET"
clientEndpoint: "WIZ_CLIENT_ENDPOINT"
```
Ersetzen Sie Folgendes:
- WIZ_CLIENT_ID: die Client-ID für das Dienstkonto.
- WIZ_CLIENT_TOKEN: das Clientschlüssel für das Dienstkonto.
- WIZ_CLIENT_ENDPOINT: die zu verwendende Token-URL, die von Ihrem Wiz-Mandanten abhängt.
Optional: Wenn Sie einen HTTP-Proxy verwenden, können Sie den Runtime Sensor so konfigurieren, dass er den Proxyserver verwendet. Erstellen Sie eine YAML-Konfigurationsdatei für den Proxy:
```
httpsProxy: "PROXY_URL"
caCertificate: "CA_CERTIFICATE"
clientCertificate: "CLIENT_CERTIFICATE"
```
Ersetzen Sie Folgendes:
- PROXY_URL: die vollständig qualifizierte Proxy-URL, z. B. https://proxy.example.com:8080.
- CA_CERTIFICATE: das CA-Zertifikat des Proxyservers im PEM-Format. Wenn Ihr Proxyserver kein TLS verwendet, dann geben Sie einen leeren Wert ("") an.
- CLIENT_CERTIFICATE: das Clientzertifikat des Proxyservers im PEM-Format. Wenn Ihr Proxyserver kein TLS verwendet, geben Sie einen leeren Wert ("") an.

Secrets in Secret Manager erstellen

In diesem Abschnitt wird beschrieben, wie Sie die verschiedenen Wiz-Konfigurations- und Anmeldedatendateien in Secret Manager speichern. Sie können die URIs dieser Secrets angeben, wenn Sie das Runtime Sensor-Add-on in einem GKE-Cluster aktivieren. Secret Manager erstellt die Kubernetes-Secrets automatisch im Wiz-Namespace. Wenn Sie die Werte in Secret Manager aktualisieren, werden die Kubernetes-Secrets automatisch neu synchronisiert, um die neuen Werte zu verwenden. Optional können Sie diesen Abschnitt überspringen und die Secrets manuell im Namespace gke-managed-wiz erstellen.

So erstellen Sie die Secrets in Secret Manager:

Anmeldedaten für die Wiz-Registry speichern:
1. Erstellen Sie ein Secret zum Speichern der Anmeldedaten für die Wiz-Registry:
```
gcloud secrets create wiz-image-pull-secret \
    --replication-policy="automatic" \
    --project="SECRET_PROJECT_ID"
```
  Ersetzen Sie SECRET_PROJECT_ID durch die Projekt ID des Cloud de Confiance Projekts, in dem die Secrets erstellt werden sollen.
2. Speichern Sie die Anmeldedaten für die Wiz-Registry im Secret wiz-image-pull-secret:
```
gcloud secrets versions add wiz-image-pull-secret \
    --project="SECRET_PROJECT_ID" \
    --data-file=PATH_TO_CREDENTIALS_FILE
```
  Ersetzen Sie PATH_TO_CREDENTIALS_FILE durch den Pfad zur JSON-Datei, die die Anmeldedaten für die Wiz-Registry enthält.
API-Anmeldedaten für den Runtime Sensor speichern:
1. Erstellen Sie ein Secret zum Speichern der API-Anmeldedaten für den Runtime Sensor:
```
gcloud secrets create wiz-api-key-secret \
    --replication-policy="automatic" \
    --project="SECRET_PROJECT_ID"
```
2. Speichern Sie die API-Anmeldedaten für den Runtime Sensor im Secret wiz-api-key-secret:
```
gcloud secrets versions add wiz-api-key-secret \
    --project="SECRET_PROJECT_ID" \
    --data-file=PATH_TO_CONFIG_FILE
```
  Ersetzen Sie PATH_TO_CONFIG_FILE durch den Pfad zur YAML-Datei, die die API-Anmeldedaten für den Runtime Sensor enthält.
Optional: Konfigurationsinformationen für Ihren Proxy speichern:
1. Erstellen Sie ein Secret zum Speichern der Proxyserverkonfiguration:
```
gcloud secrets create wiz-sensor-proxy-secret \
    --replication-policy="automatic" \
    --project="SECRET_PROJECT_ID"
```
2. Speichern Sie die Proxyserverkonfiguration im Secret wiz-sensor-proxy-secret:
```
gcloud secrets versions add wiz-sensor-proxy-secret \
    --project="SECRET_PROJECT_ID" \
    --data-file=PATH_TO_PROXY_FILE
```
  Ersetzen Sie PATH_TO_PROXY_FILE durch den Pfad zur YAML-Datei, die die Konfigurationsparameter für den Proxy enthält.

GKE Zugriff auf Secret Manager gewähren

Um die Informationen in Secret Manager als Kubernetes Secrets zu synchronisieren, gewähren Sie dem Kubernetes-Dienstkonto wiz-sensor-secretsync-sa im Namespace gke-managed-wiz die IAM-Rolle Secret Manager Secret Accessor (roles/secretmanager.secretAccessor) für die von Ihnen erstellten Secrets. Wenn Sie das Runtime Sensor-Add-on in einem Cluster aktivieren, erstellt GKE dieses Dienstkonto und verwendet die Dienstkontoidentität, um die entsprechenden Secrets im Namespace zu erstellen. Wenn Sie Secrets manuell erstellen möchten, anstatt Secret Manager zu verwenden, überspringen Sie diesen Abschnitt.

In den folgenden Schritten wird beschrieben, wie Sie die erforderliche Rolle gewähren:

Suchen Sie die Projektnummer Ihres Clusterprojekts:
```
gcloud projects describe CLUSTER_PROJECT_ID --format='value(projectNumber)'
```
Die Ausgabe sieht etwa so aus: 1234567890.

Gewähren Sie die Rolle für das Secret wiz-image-pull-secret:

gcloud secrets add-iam-policy-binding wiz-image-pull-secret \
    --project=SECRET_PROJECT_ID \
    --role="roles/secretmanager.secretAccessor" \
    --member="principal://iam.googleapis.com/projects/CLUSTER_PROJECT_NUMBER/locations/global/workloadIdentityPools/CLUSTER_PROJECT_ID.s3ns.svc.id.goog/subject/ns/gke-managed-wiz/sa/wiz-sensor-secretsync-sa"

Ersetzen Sie Folgendes:

SECRET_PROJECT_ID: die Projekt-ID des Projekts, das Ihre Secrets enthält.
CLUSTER_PROJECT_NUMBER: die Projektnummer des Clusterprojekts.
CLUSTER_PROJECT_ID: die Projekt-ID des Clusterprojekts.

Gewähren Sie die Rolle für das Secret wiz-api-key-secret:

gcloud secrets add-iam-policy-binding wiz-api-key-secret \
    --project=SECRET_PROJECT_ID \
    --role="roles/secretmanager.secretAccessor" \
    --member="principal://iam.googleapis.com/projects/CLUSTER_PROJECT_NUMBER/locations/global/workloadIdentityPools/CLUSTER_PROJECT_ID.s3ns.svc.id.goog/subject/ns/gke-managed-wiz/sa/wiz-sensor-secretsync-sa"

Optional: Wenn Sie ein Secret mit HTTP-Proxyinformationen erstellt haben, gewähren Sie die Rolle für das Secret wiz-sensor-proxy-secret:

gcloud secrets add-iam-policy-binding wiz-sensor-proxy-secret \
    --project=SECRET_PROJECT_ID \
    --role="roles/secretmanager.secretAccessor" \
    --member="principal://iam.googleapis.com/projects/CLUSTER_PROJECT_NUMBER/locations/global/workloadIdentityPools/CLUSTER_PROJECT_ID.s3ns.svc.id.goog/subject/ns/gke-managed-wiz/sa/wiz-sensor-secretsync-sa"

Runtime Sensor-Add-on für GKE aktivieren

Nachdem Sie die Secrets in Secret Manager erstellt und GKE die erforderliche Rolle für die Secrets gewährt haben, aktivieren Sie das Runtime Sensor-Add-on für Ihren Cluster. Sie können das Add-on für neue oder vorhandene Standard- oder Autopilot-Cluster aktivieren. In den folgenden Schritten wird beschrieben, wie Sie das Add-on aktivieren und die Secret-Synchronisierung in einem vorhandenen Cluster konfigurieren. Sie können diese Flags auch beim Erstellen des Clusters verwenden.

Aktivieren Sie die Secret-Synchronisierung für einen vorhandenen Cluster. Wenn Sie Secrets manuell erstellen möchten, anstatt Secret Manager zu verwenden, überspringen Sie diesen Schritt.
```
gcloud container clusters update CLUSTER_NAME \
    --project=CLUSTER_PROJECT_ID \
    --location=CONTROL_PLANE_LOCATION \
    --enable-secret-sync --enable-secret-sync-rotation
```
Ersetzen Sie Folgendes:
- CLUSTER_NAME: der Name Ihres Clusters.
- CLUSTER_PROJECT_ID: die Projekt-ID Ihres Clusterprojekts.
- CONTROL_PLANE_LOCATION: der Speicherort der Steuerungsebene Ihres Clusters.

Aktivieren Sie das Add-on mit einem der folgenden Befehle. Wenn Sie Secrets manuell erstellen möchten, anstatt Secret Manager zu verwenden, geben Sie in diesen Befehlen nur das Flag --addons an.

Aktivieren Sie das Add-on, ohne einen HTTP-Proxy zu konfigurieren:

gcloud container clusters update CLUSTER_NAME \
    --project=CLUSTER_PROJECT_ID \
    --location=CONTROL_PLANE_LOCATION \
    --update-addons=WizSensor=ENABLED \
    --wiz-sensor-registry-secret-uri=projects/SECRET_PROJECT_ID/secrets/wiz-image-pull-secret/versions/latest \
    --wiz-sensor-api-key-secret-uri=projects/SECRET_PROJECT_ID/secrets/wiz-api-key-secret/versions/latest

Aktivieren Sie das Add-on und konfigurieren Sie einen HTTP-Proxy:

gcloud container clusters update CLUSTER_NAME \
    --project=CLUSTER_PROJECT_ID \
    --location=CONTROL_PLANE_LOCATION \
    --update-addons=WizSensor=ENABLED \
    --wiz-sensor-registry-secret-uri=projects/SECRET_PROJECT_ID/secrets/wiz-image-pull-secret/versions/latest \
    --wiz-sensor-api-key-secret-uri=projects/SECRET_PROJECT_ID/secrets/wiz-api-key-secret/versions/latest \
    --wiz-sensor-proxy-secret-uri=projects/SECRET_PROJECT_ID/secrets/wiz-sensor-proxy-secret/versions/latest

Installation überprüfen

So überprüfen Sie die Add-on-Installation:

Rufen Sie Anmeldedaten ab, um kubectl-Befehle im Cluster auszuführen:

gcloud container clusters get-credentials CLUSTER_NAME \
    --location=CONTROL_PLANE_LOCATION \
    --project=CLUSTER_PROJECT_ID

Prüfen Sie, ob der Namespace gke-managed-wiz vorhanden ist:

kubectl get namespace gke-managed-wiz