Para criar um cluster do GKE com um PodSecurityPolicy ativado, use o comando a seguir. Substitua cluster-name pelo nome do cluster em que você está adicionando uma PodSecurityPolicy.
O elemento básico dos serviços do Kubernetes é o contêiner. Isso torna a segurança do contêiner um fator importante ao planejar a segurança e as políticas do cluster. Considere cuidadosamente o seguinte:
Para mais informações e práticas recomendadas, consulte a documentação sobre como criar e operar contêineres.
O Kubernetes fornece uma abstração de serviço que inclui balanceamento de carga e descoberta de serviços em conjuntos de pods dentro de um cluster, bem como em sistemas legados que estão sendo executados fora do cluster. As seções a seguir descrevem as práticas recomendadas para a comunicação entre os pods do Kubernetes e com outros sistemas, incluindo outros clusters do Kubernetes.
Com base em como os clusters do GKE encaminham o tráfego de um pod para outro, os clusters podem ser categorizados em dois tipos. O primeiro é um cluster que usa intervalos de IP de alias para rotear o tráfego. Isso é chamado de cluster nativo de VPC. O segundo é um cluster que usa as rotas do Google Cloud. Isso é chamado de cluster com base em rotas.
Os clusters nativos de VPC usam intervalos de IP de alias para redes de pods. Isso significa que o plano de controle gerencia automaticamente a configuração de roteamento para pods em vez de configurar e manter rotas estáticas para cada nó no cluster do GKE. Usando intervalos de IP do alias, é possível configurar vários endereços IP internos que representam contêineres ou aplicativos hospedados em uma VM, sem a necessidade de definir uma interface de rede separada. O Google Cloud instala automaticamente rotas de rede VPC para intervalos de IP primários e de alias para a sub-rede da interface de rede principal. Isso simplifica muito o roteamento de tráfego entre pods.
Além disso, os clusters nativos de VPC não estão sujeitos a cotas de rota. O uso de intervalos de IP do alias na estrutura do cluster fornece acesso direto aos serviços do Google, como o Cloud Storage e o BigQuery. caso contrário, esse acesso seria possível apenas com um gateway NAT.
É um padrão comum as empresas fazer com que os clusters do GKE se comuniquem com segurança com o ecossistema local de aplicativos e serviços. Os intervalos de IP do alias permitem isso porque os endereços IP do alias são detectáveis pelo Cloud VPN ou pelo Cloud Interconnect. Isso ajuda a oferecer conectividade segura em toda a infraestrutura local e no Google Cloud.