GCP Terraform Misconfiguration: GKE Cluster Publicly Accessible

Una configuración de Terraform hace que se pueda acceder a un clúster de GKE a través de la Internet pública.

Si no se bloquea el tráfico de red no deseado, se amplía la superficie de ataque de un servicio en la nube. Los servicios abiertos a la interacción con el público están sujetos a análisis y sondeos casi continuos por parte de entidades malintencionadas.

Los nodos privados de GKE no tienen direcciones IP externas. Los pods que se ejecutan en estos nodos no pueden comunicarse más allá del perímetro del clúster. Deshabilitar un extremo público protege el clúster de GKE al limitar su administración a las direcciones IP privadas internas. Si no se aplica un punto final privado y nodos privados, el clúster se expone al público.

Ejemplo 1: La siguiente configuración de Terraform permite que cualquier dirección IP pública acceda a los nodos del clúster y al plano de control porque enable_private_nodes y enable_private_endpoint se establecen como false.

resource "google_container_cluster" "cluster-demo" {
...
  private_cluster_config {
    enable_private_endpoint = false
    enable_private_nodes = false
  }
...
}