GCP Terraform Misconfiguration: GKE Cluster Publicly Accessible

Terraform 配置使 GKE 群集可通过公共 Internet 访问。

未能阻止不需要的网络流量会扩大云服务的攻击面。向公众开放的服务会受到恶意实体近乎持续的扫描和探测。

私有 GKE 节点没有外部 IP 地址。在这些节点上运行的 Pod 无法在群集边界之外进行通信。禁用公共端点可将 GKE 群集管理限制为内部私有 IP 地址，从而对其进行保护。未能强制执行私有端点和私有节点会将群集暴露给公众。

示例 1：以下 Terraform 配置允许任何公共 IP 地址访问群集节点和控制平面，因为 enable_private_nodes 和 enable_private_endpoint 设置为 false。

resource "google_container_cluster" "cluster-demo" {
...
  private_cluster_config {
    enable_private_endpoint = false
    enable_private_nodes = false
  }
...
}