GCP Terraform Misconfiguration: GKE Cluster Publicly Accessible

Uma configuração do Terraform torna um cluster do GKE acessível pela Internet pública.

A falha em bloquear o tráfego de rede indesejado expande a superfície de ataque de um serviço de nuvem. Os serviços abertos à interação com o público estão sujeitos a varreduras e investigações quase contínuas por entidades mal-intencionadas.

Os nós privados do GKE não têm endereços IP externos. Os pods executados nesses nós não podem se comunicar além do perímetro do cluster. A desabilitação de um endpoint público protege o cluster do GKE limitando seu gerenciamento a endereços IP privados internos. A falha em impor um endpoint privado e nós privados expõe o cluster ao público.

Exemplo 1: A configuração do Terraform a seguir permite que qualquer endereço IP público acesse os nós do cluster e o plano de controle porque enable_private_nodes e enable_private_endpoint estão definidos como false.

resource "google_container_cluster" "cluster-demo" {
...
  private_cluster_config {
    enable_private_endpoint = false
    enable_private_nodes = false
  }
...
}