Sebagian atau seluruh informasi di halaman ini mungkin tidak berlaku untuk Cloud de Confiance dari S3NS. Lihat Perbedaan dengan Google Cloud untuk mengetahui detail selengkapnya.

Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Menginstal Sensor Runtime Wiz di cluster GKE

Autopilot Standard

Sensor Wiz Runtime adalah komponen di platform inti Wiz yang menyediakan kemampuan deteksi dan respons ancaman real-time untuk workload runtime. Anda dapat menginstal Runtime Sensor di cluster Google Kubernetes Engine (GKE) sebagai add-on terkelola. Dokumen ini menunjukkan kepada administrator platform dan engineer keamanan cara menginstal add-on Runtime Sensor, mengonfigurasi akses ke platform Wiz, dan menerapkan penginstalan Runtime Sensor di seluruh organisasi, folder, atau project Anda.

Anda seharusnya sudah memahami Sensor Runtime Wiz.

Kapan harus menggunakan add-on Runtime Sensor

Metode penginstalan add-on terkelola adalah alternatif bawaan untuk menginstal Runtime Sensor menggunakan metode penginstalan seperti chart Helm. Add-on Runtime Sensor memiliki manfaat berikut:

GKE menginstal komponen dan mengelola sebagian besar tugas konfigurasi, yang mengurangi upaya dan kompleksitas penginstalan Sensor Runtime jika dibandingkan dengan penggunaan diagram Helm.
Anda dapat menggunakan Organization Policy Service untuk mewajibkan pengaktifan add-on di seluruh organisasi, folder, atau project Anda.
Add-on ini berjalan di cluster Autopilot dan bersama workload Autopilot di cluster Standard tanpa mengharuskan Anda menambahkan Sensor Runtime ke daftar yang diizinkan.
Setiap update pada komponen Runtime Sensor tidak bergantung pada upgrade versi patch GKE.

Anda juga dapat menginstal Runtime Sensor di cluster menggunakan diagram Helm. Jika menggunakan metode ini, Anda akan mendapatkan lebih banyak fleksibilitas untuk menyesuaikan konfigurasi sensor. Namun, metode ini memerlukan lebih banyak konfigurasi manual selama penginstalan dan lebih sulit diterapkan dalam skala besar jika dibandingkan dengan penggunaan add-on. Jika Anda menginstal Sensor Runtime menggunakan diagram Helm, komponen tidak dikelola oleh GKE. Jika Anda tidak menggunakan add-on GKE, laporkan masalah terkait Sensor Runtime, seperti error atau ketidakcocokan, langsung ke Wiz.

Cara kerjanya

Anda menginstal add-on di cluster tertentu menggunakan GKE API. Saat Anda mengaktifkan add-on, GKE akan membuat namespace gke-managed-wiz dan menginstal komponen Runtime Sensor. GKE memerlukan akses ke Wiz private container registry untuk menarik image untuk Sensor Runtime.

Setelah penginstalan, Runtime Sensor memerlukan akses ke Wiz API untuk mengirim informasi ke platform Wiz. Untuk memberi GKE dan Runtime Sensor akses yang diperlukan, berikan informasi berikut sebagai Secret di namespace gke-managed-wiz:

Kredensial untuk mengakses Wiz Container Registry dan menarik image Runtime Sensor.
Informasi konfigurasi untuk Sensor Runtime, seperti kredensial Wiz API dan variabel khusus lingkungan.

Anda dapat membuat Secret ini secara manual atau mengupload informasi ke Cloud de Confiance by S3NS Secret Manager, yang secara otomatis membuat Secret, mengganti versi sesuai jadwal berulang, dan meluncurkan update ke Secret yang di-deploy.

Harga

Add-on Wiz Runtime Sensor tersedia tanpa biaya tambahan di GKE. Pertimbangan berikut berlaku:

Anda harus memiliki lisensi Wiz Runtime Sensor yang aktif. Untuk mengetahui informasi selengkapnya, lihat Harga Wiz.
Komponen Runtime Sensor berjalan di node Anda dan menggunakan resource CPU dan memori, yang mungkin mengakibatkan lebih banyak node yang diperlukan untuk mengakomodasi semua Pod di cluster Anda.
Jika Anda menggunakan Secret Manager untuk menyimpan kredensial dan konfigurasi Wiz, harga Secret Manager akan berlaku.

Batasan

Batasan berikut berlaku untuk penggunaan add-on:

Jika Anda mengupdate kredensial API atau registry Wiz di Secret yang di-deploy, Anda harus memulai ulang DaemonSet Runtime Sensor secara manual menggunakan perintah kubectl rollout restart.
Untuk menginstal Runtime Sensor, Anda harus mengupload kredensial registry Wiz tenant Anda sebagai Secret Kubernetes atau ke Secret Manager.
Jika menggunakan node pribadi, Anda harus mengonfigurasi akses keluar ke registry container Wiz (registry.wiz.io) menggunakan Cloud NAT.
Add-on GKE terkelola hanya mendukung parameter konfigurasi opsional berikut untuk Sensor Runtime:
- httpProxyConfiguration.httpsProxy
- httpProxyConfiguration.caCertificate
- httpProxyConfiguration.clientCertificate

Untuk menggunakan parameter konfigurasi lainnya, instal Runtime Sensor menggunakan diagram Helm.

Sebelum memulai

Sebelum memulai, pastikan Anda telah melakukan tugas berikut:

Aktifkan Google Kubernetes Engine API.

Aktifkan Google Kubernetes Engine API

Untuk menggunakan Google Cloud CLI untuk tugas ini, instal lalu lakukan inisialisasi gcloud CLI. Jika sebelumnya Anda telah menginstal gcloud CLI, dapatkan versi terbaru dengan menjalankan perintah gcloud components update. Versi gcloud CLI yang lebih lama mungkin tidak mendukung menjalankan perintah dalam dokumen ini.
Catatan: Untuk penginstalan gcloud CLI yang ada, pastikan untuk menyetel properti compute/region. Jika Anda menggunakan cluster zona, tetapkan compute/zone. Dengan menetapkan lokasi default, Anda dapat menghindari error di gcloud CLI seperti berikut: One of [--zone, --region] must be supplied: Please specify location. Anda mungkin perlu menentukan lokasi dalam perintah tertentu jika lokasi cluster Anda berbeda dengan lokasi default yang Anda tetapkan.

Buat cluster Autopilot atau cluster Standard yang telah mengaktifkan Workload Identity Federation for GKE dan menjalankan GKE versi 1.36.4-gke.1495000 atau yang lebih baru.

Peran yang diperlukan

Untuk mengaktifkan dan mengonfigurasi add-on Sensor Runtime untuk GKE, Anda harus memiliki peran berikut di project Cloud de Confiance :

Mengonfigurasi cluster GKE: Kubernetes Engine Cluster Admin (roles/container.clusterAdmin) di project Cloud de Confiance .
Upload kredensial API dan file konfigurasi ke Secret Manager: Secret Manager Editor (roles/secretmanager.editor) di project Cloud de Confiance .
Berikan peran Identity and Access Management (IAM) ke ServiceAccount Kubernetes yang digunakan Runtime Sensor: Secret Manager Admin (roles/secretmanager.admin) di project Cloud de Confiance .
Mengonfigurasi kebijakan organisasi: Administrator Kebijakan Organisasi (roles/orgpolicy.policyAdmin) di organisasi Anda.

Anda juga harus memiliki akses ke tenant Wiz untuk mendapatkan kredensial untuk container registry Wiz dan membuat token OAuth untuk Wiz API.

Menyiapkan kredensial dan file konfigurasi Wiz

Untuk menginstal Sensor Runtime dan mengirim informasi ke platform Wiz, Anda harus memberikan kredensial untuk mengakses Wiz API dan Wiz private registry. Untuk menyiapkan informasi ini, ikuti langkah-langkah berikut:

Temukan kredensial container registry Wiz Anda untuk registry registry.wiz.io.
Buat string berenkode base64 yang berisi kredensial registry dalam struktur yang dapat diurai oleh Kubernetes:
```
echo -n 'WIZ_REGISTRY_USERNAME:WIZ_REGISTRY_PASSWORD' | base64 | tr -d '\n'
```
Ganti kode berikut:
- WIZ_REGISTRY_USERNAME: nama pengguna untuk Wiz container registry.
- WIZ_REGISTRY_PASSWORD: sandi untuk Container Registry Wiz.
Outputnya mirip dengan hal berikut ini:
```
aGVsbG86d29ybGQ=
```

Simpan informasi sebagai file JSON:

{
  "auths": {
    "registry.wiz.io": {
      "username": "WIZ_REGISTRY_USERNAME",
      "password": "WIZ_REGISTRY_PASSWORD",
      "auth": "BASE64_ENCODED_CREDENTIALS"
    }
  }
}

Ganti BASE64_ENCODED_CREDENTIALS dengan string yang dienkode dari langkah sebelumnya.

Buat Akun Layanan Wiz dan salin informasi berikut:
- Client ID, yang juga dapat Anda temukan di portal Wiz di halaman Service Accounts.
- Rahasia klien, yang hanya terlihat saat Anda membuat Akun Layanan.
Buat file konfigurasi YAML untuk Runtime Sensor:
```
clientId: "WIZ_CLIENT_ID"
clientToken: "WIZ_CLIENT_SECRET"
clientEndpoint: "WIZ_CLIENT_ENDPOINT"
```
Ganti kode berikut:
- WIZ_CLIENT_ID: client ID untuk Akun Layanan.
- WIZ_CLIENT_TOKEN: rahasia klien untuk Akun Layanan.
- WIZ_CLIENT_ENDPOINT: URL token yang akan digunakan, yang bergantung pada tenant Wiz Anda.
Opsional: Jika menggunakan proxy HTTP, Anda dapat mengonfigurasi Runtime Sensor untuk menggunakan server proxy. Buat file konfigurasi YAML untuk proxy:
```
httpsProxy: "PROXY_URL"
caCertificate: "CA_CERTIFICATE"
clientCertificate: "CLIENT_CERTIFICATE"
```
Ganti kode berikut:
- PROXY_URL: URL proxy yang sepenuhnya memenuhi syarat, seperti https://proxy.example.com:8080.
- CA_CERTIFICATE: sertifikat CA, dalam format PEM, dari server proxy. Jika server proxy Anda tidak menggunakan TLS, tentukan nilai kosong ("").
- CLIENT_CERTIFICATE: sertifikat klien, dalam format PEM, dari server proxy. Jika server proxy Anda tidak menggunakan TLS, tentukan nilai kosong ("").

Membuat secret di Secret Manager

Bagian ini menunjukkan cara menyimpan berbagai file konfigurasi dan kredensial Wiz di Secret Manager. Anda dapat menentukan URI secret ini saat mengaktifkan add-on Sensor Runtime di cluster GKE. Secret Manager otomatis membuat Secret Kubernetes di namespace Wiz. Saat Anda memperbarui nilai di Secret Manager, Secret Kubernetes akan otomatis disinkronkan ulang untuk menggunakan nilai baru. Anda dapat melewati bagian ini dan membuat Secret secara manual di namespace gke-managed-wiz.

Untuk membuat secret di Secret Manager, ikuti langkah-langkah berikut:

Simpan kredensial registry Wiz:
1. Buat secret untuk menyimpan kredensial registry Wiz:
```
gcloud secrets create wiz-image-pull-secret \
    --replication-policy="automatic" \
    --project="SECRET_PROJECT_ID"
```
  Ganti SECRET_PROJECT_ID dengan project ID dari project Cloud de Confiance untuk membuat secret.
2. Simpan kredensial registry Wiz di secret wiz-image-pull-secret:
```
gcloud secrets versions add wiz-image-pull-secret \
    --project="SECRET_PROJECT_ID" \
    --data-file=PATH_TO_CREDENTIALS_FILE
```
  Ganti PATH_TO_CREDENTIALS_FILE dengan jalur ke file JSON yang berisi kredensial registry Wiz.

Simpan kredensial Runtime Sensor API:

Buat secret untuk menyimpan kredensial Runtime Sensor API:

gcloud secrets create wiz-api-key-secret \
    --replication-policy="automatic" \
    --project="SECRET_PROJECT_ID"

Simpan kredensial Runtime Sensor API di wiz-api-key-secret secret:
```
gcloud secrets versions add wiz-api-key-secret \
    --project="SECRET_PROJECT_ID" \
    --data-file=PATH_TO_CONFIG_FILE
```
Ganti PATH_TO_CONFIG_FILE dengan jalur ke file YAML yang berisi kredensial Runtime Sensor API.

Opsional: Simpan informasi konfigurasi untuk proxy Anda:

Buat secret untuk menyimpan konfigurasi server proxy:

gcloud secrets create wiz-sensor-proxy-secret \
    --replication-policy="automatic" \
    --project="SECRET_PROJECT_ID"

Simpan konfigurasi server proxy di secret wiz-sensor-proxy-secret:
```
gcloud secrets versions add wiz-sensor-proxy-secret \
    --project="SECRET_PROJECT_ID" \
    --data-file=PATH_TO_PROXY_FILE
```
Ganti PATH_TO_PROXY_FILE dengan jalur ke file YAML yang berisi parameter konfigurasi proxy.

Memberi GKE akses ke Secret Manager

Untuk menyinkronkan informasi di Secret Manager sebagai Secret Kubernetes, berikan peran IAM Secret Manager Secret Accessor (roles/secretmanager.secretAccessor) pada secret yang Anda buat ke ServiceAccount Kubernetes wiz-sensor-secretsync-sa di namespace gke-managed-wiz. Saat Anda mengaktifkan add-on Sensor Runtime di cluster, GKE akan membuat ServiceAccount ini dan menggunakan identitas ServiceAccount untuk membuat Secret yang sesuai di namespace. Jika Anda berencana membuat Secret secara manual, bukan menggunakan Secret Manager, lewati bagian ini.

Langkah-langkah berikut menunjukkan cara memberikan peran yang diperlukan:

Temukan nomor project project cluster Anda:

gcloud projects describe CLUSTER_PROJECT_ID --format='value(projectNumber)'

Outputnya mirip dengan 1234567890.

Berikan peran pada secret wiz-image-pull-secret:

gcloud secrets add-iam-policy-binding wiz-image-pull-secret \
    --project=SECRET_PROJECT_ID \
    --role="roles/secretmanager.secretAccessor" \
    --member="principal://iam.googleapis.com/projects/CLUSTER_PROJECT_NUMBER/locations/global/workloadIdentityPools/CLUSTER_PROJECT_ID.s3ns.svc.id.goog/subject/ns/gke-managed-wiz/sa/wiz-sensor-secretsync-sa"

Ganti kode berikut:

SECRET_PROJECT_ID: project ID dari project yang berisi rahasia Anda.
CLUSTER_PROJECT_NUMBER: nomor project project cluster.
CLUSTER_PROJECT_ID: project ID dari project cluster.

Berikan peran pada secret wiz-api-key-secret:

gcloud secrets add-iam-policy-binding wiz-api-key-secret \
    --project=SECRET_PROJECT_ID \
    --role="roles/secretmanager.secretAccessor" \
    --member="principal://iam.googleapis.com/projects/CLUSTER_PROJECT_NUMBER/locations/global/workloadIdentityPools/CLUSTER_PROJECT_ID.s3ns.svc.id.goog/subject/ns/gke-managed-wiz/sa/wiz-sensor-secretsync-sa"

Opsional: Jika Anda membuat secret yang berisi informasi proxy HTTP, berikan peran pada secret wiz-sensor-proxy-secret:

gcloud secrets add-iam-policy-binding wiz-sensor-proxy-secret \
    --project=SECRET_PROJECT_ID \
    --role="roles/secretmanager.secretAccessor" \
    --member="principal://iam.googleapis.com/projects/CLUSTER_PROJECT_NUMBER/locations/global/workloadIdentityPools/CLUSTER_PROJECT_ID.s3ns.svc.id.goog/subject/ns/gke-managed-wiz/sa/wiz-sensor-secretsync-sa"

Mengaktifkan add-on Runtime Sensor untuk GKE

Setelah Anda membuat secret di Secret Manager dan memberikan peran yang diperlukan ke GKE pada secret tersebut, aktifkan add-on Sensor Runtime untuk cluster Anda. Anda dapat mengaktifkan add-on di cluster Standard atau Autopilot baru atau yang sudah ada. Langkah-langkah berikut menunjukkan cara mengaktifkan add-on dan mengonfigurasi sinkronisasi secret di cluster yang ada. Anda juga dapat menggunakan flag ini selama pembuatan cluster.

Aktifkan sinkronisasi rahasia untuk cluster yang ada. Jika Anda berencana untuk membuat Secret secara manual, bukan menggunakan Secret Manager, lewati langkah ini.
```
gcloud container clusters update CLUSTER_NAME \
    --project=CLUSTER_PROJECT_ID \
    --location=CONTROL_PLANE_LOCATION \
    --enable-secret-sync --enable-secret-sync-rotation
```
Ganti kode berikut:
- CLUSTER_NAME: nama cluster Anda.
- CLUSTER_PROJECT_ID: project ID dari project cluster Anda.
- CONTROL_PLANE_LOCATION: lokasi bidang kontrol cluster Anda.

Aktifkan add-on dengan menjalankan salah satu perintah berikut. Jika Anda berencana membuat Secret secara manual, bukan menggunakan Secret Manager, tentukan hanya flag --addons dalam perintah ini.

Aktifkan add-on tanpa mengonfigurasi proxy HTTP:

gcloud container clusters update CLUSTER_NAME \
    --project=CLUSTER_PROJECT_ID \
    --location=CONTROL_PLANE_LOCATION \
    --update-addons=WizSensor=ENABLED \
    --wiz-sensor-registry-secret-uri=projects/SECRET_PROJECT_ID/secrets/wiz-image-pull-secret/versions/latest \
    --wiz-sensor-api-key-secret-uri=projects/SECRET_PROJECT_ID/secrets/wiz-api-key-secret/versions/latest

Aktifkan add-on dan konfigurasi proxy HTTP:

gcloud container clusters update CLUSTER_NAME \
    --project=CLUSTER_PROJECT_ID \
    --location=CONTROL_PLANE_LOCATION \
    --update-addons=WizSensor=ENABLED \
    --wiz-sensor-registry-secret-uri=projects/SECRET_PROJECT_ID/secrets/wiz-image-pull-secret/versions/latest \
    --wiz-sensor-api-key-secret-uri=projects/SECRET_PROJECT_ID/secrets/wiz-api-key-secret/versions/latest \
    --wiz-sensor-proxy-secret-uri=projects/SECRET_PROJECT_ID/secrets/wiz-sensor-proxy-secret/versions/latest

Memverifikasi penginstalan

Untuk memverifikasi penginstalan add-on, ikuti langkah-langkah berikut:

Dapatkan kredensial untuk menjalankan perintah kubectl di cluster:

gcloud container clusters get-credentials CLUSTER_NAME \
    --location=CONTROL_PLANE_LOCATION \
    --project=CLUSTER_PROJECT_ID

Periksa apakah namespace gke-managed-wiz ada:

kubectl get namespace gke-managed-wiz