{"id":27222,"date":"2022-08-16T09:12:13","date_gmt":"2022-08-16T07:12:13","guid":{"rendered":"https:\/\/www.makingscience.com\/?p=27222"},"modified":"2022-08-16T09:12:13","modified_gmt":"2022-08-16T07:12:13","slug":"google-kubernetes-engine-gke-recomendaciones-basicas-de-seguridad","status":"publish","type":"post","link":"https:\/\/www.makingscience.com\/es\/blog\/google-kubernetes-engine-gke-recomendaciones-basicas-de-seguridad\/","title":{"rendered":"Google Kubernetes Engine (GKE): recomendaciones b\u00e1sicas de seguridad"},"content":{"rendered":"

\u00bfCu\u00e1les son las recomendaciones b\u00e1sicas para operar de forma segura con GKE?<\/strong> En este art\u00edculo compartimos con vosotros algunas recomendaciones de seguridad y buenas pr\u00e1cticas para asegurar un poco m\u00e1s tu cluster de Google Kubernetes Engine (GKE) y su seguridad.<\/p>\n

 <\/p>\n

No uses la cuenta de servicio por defecto<\/h3>\n

Puede sonar b\u00e1sico para algunas personas, pero no todo el mundo sabe acerca de los problemas de seguridad de la utilizaci\u00f3n de la cuenta de servicio por defecto. Esta cuenta por defecto tiene un rol de editor adjunto<\/strong>, por lo que su acceso es casi ilimitado y una cuenta de car\u00e1cter peligroso. Si alguien es capaz de comprometer un nodo de tu cluster, ser\u00e1 capaz de hacer cosas como crear o\/y borrar instancias, robar credenciales, datos, entre otros.<\/p>\n

Desde Making Science te aconsejamos evitar el uso de esa cuenta en todas partes, y es por esto que tendr\u00e1s que crear una nueva cuenta de servicio para el cluster GKE. Esta cuenta se configura a nivel de pool<\/em>, por lo que podemos crear un nuevo pool<\/em> en cualquier momento y migrar nuestros servicios en cualquier momento sin destruir el cluster.<\/p>\n

Nota importante:<\/strong> No olvides a\u00f1adir al menos los roles Logs Writer<\/strong> y Monitoring Metric Writer<\/strong> y nunca adjuntar un rol primitivo a esa cuenta de servicio.<\/p>\n

 <\/p>\n

Si es posible, no utilices nunca claves de cuentas de servicio<\/h3>\n

Esta es una recomendaci\u00f3n general. No utilices una clave generada por una cuenta de servicio si es posible. La raz\u00f3n es que las claves no se rotan autom\u00e1ticamente y por lo tanto debemos rotarlas manualmente cada vez. Esto no siempre es posible y es un problema de seguridad. El acceso IAM en cambio, gestiona la rotaci\u00f3n de claves autom\u00e1ticamente y es, por tanto, m\u00e1s seguro. Si su aplicaci\u00f3n es capaz de iniciar sesi\u00f3n utilizando la cuenta de servicio por defecto en la instancia, el mejor enfoque es utilizar la identidad de carga de trabajo para poder vincular las cuentas de servicio de Google con las cuentas de servicio de K8s.<\/p>\n

Para utilizar las GSA (cuentas de servicio de Google) en K8s, habilitaremos la opci\u00f3n de identidad de carga de trabajo en el cluster, y luego vincularemos la KSA (cuenta de servicio de Kubernetes) a una GSA. Una vez hecho esto, adjuntaremos esa KSA a un deployment, statefulset, etc… y entonces los pods creados por ella podr\u00e1n iniciar sesi\u00f3n usando la cuenta de servicio por defecto.<\/p>\n

Nota importante: <\/strong>La recomendaci\u00f3n aqu\u00ed es la misma que la de las instancias y es utilizar una cuenta de servicio diferente para cada servicio.<\/p>\n

 <\/p>\n

Nunca utilice roles primitivos<\/h3>\n

Esta es tambi\u00e9n una recomendaci\u00f3n general y es seguir el principio de m\u00ednimo privilegio<\/strong>. NUNCA use roles primitivos en la Cuenta de Servicio porque puede llevar a una severa brecha de seguridad.<\/p>\n

 <\/p>\n

Encripta la base de datos de secretos usando KMS<\/h3>\n

Por defecto en GKE la base de datos etcd<\/strong> est\u00e1 encriptada en reposo (como todo), pero este archivo es accesible desde el interior de los nodos de GKE sin encriptaci\u00f3n, por lo que puede ser extra\u00eddo por un atacante si gana suficiente acceso al cluster. Para a\u00f1adir una capa de seguridad adicional, podemos utilizar el servicio KMS para cifrar los datos utilizando una clave sim\u00e9trica, por lo que extraer los datos de etcd ser\u00e1 mucho m\u00e1s dif\u00edcil.<\/p>\n

Para ello, necesitaremos crear un llavero y una clave sim\u00e9trica en el servicio KMS. Una vez creada la clave, configuraremos el cifrado de secretos de la capa de aplicaci\u00f3n para que utilice esa clave.<\/p>\n

 <\/p>\n

Desactiva las autenticaciones inseguras<\/h3>\n

Aseg\u00farate de que las autenticaciones heredadas e inseguras est\u00e1n deshabilitadas. Por ejemplo:<\/p>\n