GCP Terraform Misconfiguration: GKE Cluster Publicly Accessible

Terraform 構成は、パブリック インターネット経由で GKE クラスターへのアクセスを可能にします。

不要なネットワーク トラフィックのブロックに失敗すると、クラウド サービスの攻撃対象領域が拡大します。一般に公開されているサービスは、悪意のあるエンティティによるほぼ継続的なスキャンとプロービングの対象になります。

プライベート GKE ノードには外部 IP アドレスがありません。これらのノードで実行されるポッドは、クラスターの境界を超えて通信できません。パブリック エンドポイントを無効にすると、GKE クラスターの管理が内部のプライベート IP アドレスに制限されて、GKE クラスターが保護されます。プライベート エンドポイントとプライベート ノードを強制しないと、クラスターがパブリックに公開されます。

例 1: 次の Terraform 構成では、enable_private_nodes および enable_private_endpoint が false に設定されているため、任意の IP アドレスがクラスター ノードとコントロール プレーンにアクセスできます。

resource "google_container_cluster" "cluster-demo" {
...
  private_cluster_config {
    enable_private_endpoint = false
    enable_private_nodes = false
  }
...
}