將 GKE 與 Google SecOps 整合

本文說明如何設定 Google Kubernetes Engine (GKE) 並與 Google Security Operations 整合。

用途

GKE 整合功能會使用 Google SecOps 功能，支援下列用途：

  • 叢集清查：自動擷取指定位置內的所有 GKE 叢集清單。這有助於安全團隊維護 Kubernetes 基礎架構的最新清查資料。

  • 動態自動調度資源：根據安全事件或作業快訊自動調整節點集區大小，確保效能最佳化。

  • 以標籤為準的隔離：根據安全政策或事件應變程序，自動將標籤套用至 GKE 叢集。

  • 調整外掛程式設定：根據安全性最佳做法自動啟用或停用 GKE 外掛程式。停用不安全的附加元件可以縮小攻擊面。

  • 作業狀態監控：自動監控由安全應對手冊或事件應變工作流程觸發的 GKE 作業狀態。這項功能可讓安全分析師監控補救進度，並查看進行中作業的狀態。

事前準備

在 Google SecOps 中設定 GKE 整合功能之前，請先完成下列必要步驟：

  1. 建立及設定自訂 Identity and Access Management 角色。

  2. 建立服務帳戶。

  3. 選擇並設定下列其中一種驗證方法：

建立及設定 IAM 角色

如要為整合功能提供必要權限，請在專案中建立自訂角色：

  1. 前往 Google Cloud 控制台的「Roles」(角色)。

    前往「Roles」(角色)

  2. 按一下「建立角色」。

  3. 提供標題 (例如 SecOps GKE Analyst)、說明和不重複的 ID。

  4. 將「角色發布階段」設為「正式發布」。

  5. 為角色新增下列權限：

    • container.clusters.list
    • container.clusters.update
    • container.clusters.get
    • container.operations.list
    • container.operations.get

  6. 點選「建立」。

建立服務帳戶

  1. 在 Google Cloud 控制台中，依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。

    前往「Service Accounts」(服務帳戶)

  2. 按一下「add」(新增)「Create service account」(建立服務帳戶)。

  3. 提供名稱和說明，然後按一下「建立並繼續」。

  4. 在「Grant this service account access to project」(將專案存取權授予這個服務帳戶) 步驟中，指派您建立的自訂 IAM 角色。

  5. 點按「Done」(完成)。記下服務帳戶的電子郵件地址。

設定 Workload Identity 憑證

建議使用 Workload Identity，因為這項功能會透過服務帳戶模擬功能，使用短期存取權杖。

找出專屬執行個體 ID

建立連線時，您必須授予 Google SecOps 執行個體權限，模擬您的服務帳戶。

  1. 在 Google SecOps 中，依序前往「Content Hub」>「Response Integrations」。

  2. 選取「GKE」GKE整合服務，並在 Workload Identity Email 欄位中輸入服務帳戶電子郵件地址。

  3. 依序點選「儲存」>「測試」。測試預計會失敗。

  4. 按一下「測試」旁邊的 close_small 按鈕，找出開頭為 gke-init-python@... 或 soar-python@... 的身分識別電子郵件。

  5. 複製這個專屬電子郵件地址。

在 Google Cloud中授權執行個體身分

  1. 在 Google Cloud 控制台中，依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。

    前往「Service Accounts」(服務帳戶)

  2. 選取目標服務帳戶，然後依序前往「權限」> 授予存取權。

  3. 將專屬電子郵件地址貼到「新增主體」欄位，然後指派「服務帳戶憑證建立者」角色 (roles/iam.serviceAccountTokenCreator)。

授予配額專案存取權

如要使用 Workload Identity 進行驗證，必須有 Quota Project ID 才能追蹤 API 使用量和帳單。

  1. 在 Google Cloud 控制台中，前往做為配額專案的專案的「IAM」。

    前往「IAM」(身分與存取權管理) 頁面

  2. 找出服務帳戶，然後按一下「編輯主體」(編輯)。

  3. 按一下「Add another role」(新增其他角色)，然後選取「Service Usage Consumer」(服務使用情形用戶) (roles/serviceusage.serviceUsageConsumer)。

  4. 按一下 [儲存]。

設定 JSON 金鑰

靜態的長期密鑰檔案需要手動輪替。只有在無法使用 Workload Identity 驗證時，才使用這個方法。

  1. 在 Google Cloud 控制台中，依序前往「IAM 與管理」>「服務帳戶」，然後選取您的服務帳戶。

    前往「Service Accounts」(服務帳戶)

  2. 前往「金鑰」分頁，依序點按「新增金鑰 > 建立新的金鑰」。

  3. 選取「JSON」，然後按一下「建立」。瀏覽器會將 JSON 檔案下載至您的電腦。

手動設定個別參數

如果選擇手動輸入憑證，請在文字編輯器中開啟下載的 JSON 金鑰檔案，複製整合設定中所需的個別值。

整合參數

如要在 Google SecOps 和 GKE 之間建立連線，您必須設定下列參數。這項整合功能支援三種不同的驗證路徑。選擇下列其中一種方法來提供憑證：

  • Workload Identity：使用 Workload Identity Email 和 Quota Project ID。

  • 服務帳戶 JSON 檔案：使用 Service Account Json File Content 提供整個金鑰檔案。

  • 手動個別參數：使用從 JSON 金鑰手動複製的個別欄位。

參數 說明
API Root

必填。

GKE 執行個體的 API 根目錄。

預設值為 https://container.googleapis.com。
Workload Identity Email

選填。

服務帳戶的用戶端電子郵件地址。

只有在使用 Workload Identity 驗證時，才需要設定這個參數。如果已設定，則必須提供 Quota Project ID，系統會忽略 Service Account JSON File Content。
Service Account Json File Content

選填。

服務帳戶金鑰 JSON 檔案的完整內容。如果您使用 JSON 金鑰進行驗證，請只設定這個參數。
Project ID

選填。

要在 GKE 中指定的專案 ID。

如未提供值，整合服務會從服務帳戶憑證擷取 ID。
Quota Project ID

選填。

用於 API 使用量和帳單的專案 ID。

使用 Workload Identity 驗證時，必須提供這個參數。

如未提供值，整合服務會從服務帳戶憑證擷取 ID。
Location ID

選填。

用於限定叢集作業範圍的地區 ID。

預設值為 europe-central2-a。
Verify SSL

必填。

如果選取這個選項，整合服務會在連線至 Google Cloud 伺服器時驗證 SSL 憑證。

(預設為啟用)。

個人憑證參數

如果您是手動輸入憑證，而非使用完整的 JSON 檔案內容或 Workload Identity，請只設定下列參數。

參數 說明
Account Type

選填。

JSON 金鑰 type 欄位中的值 (通常為 service_account)。
Private Key ID

選填。

JSON 金鑰的 private_key_id 欄位值。
Private Key

選填。

JSON 金鑰的 private_key 欄位值。
Client Email

選填。

JSON 金鑰的 client_email 欄位值。
Client ID

選填。

JSON 金鑰的 client_id 欄位值。
Auth URI

選填。

JSON 金鑰的 auth_uri 欄位值。

預設為 https://accounts.google.com/o/oauth2/auth。
Token URI

選填。

JSON 金鑰的 token_uri 欄位值。

預設為 https://oauth2.googleapis.com/token。
Auth Provider X509 URL

選填。

JSON 金鑰的 auth_provider_x509_cert_url 欄位中的值。
Client X509 URL

選填。

JSON 金鑰的 client_x509_cert_url 欄位中的值。

如需在 Google SecOps 中設定整合功能的操作說明，請參閱「設定整合功能」。

如有需要，您可以在稍後階段進行變更。設定整合執行個體後，您可以在應對手冊中使用該執行個體。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 從工作台回覆待處理動作」和「執行手動動作」。

取得作業狀態

使用「取得作業狀態」動作，擷取 GKE 作業狀態。

這項動作是非同步作業。視需要調整 Google SecOps 整合式開發環境 (IDE)，以執行動作。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「取得作業狀態」動作需要下列參數：

參數 說明
Location

必填。

要擷取作業狀態的位置，例如 europe-central2-a。
Operation Name

必填。

要擷取的作業。
Wait for the operation to finish

選填。

如果選取這個選項，動作會等待作業結果。

預設為未選取。

動作輸出內容

「取得作業狀態」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件牆表格 無法使用
充實資料表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例顯示使用「Get Operation Status」(取得作業狀態) 動作時收到的 JSON 結果輸出內容：

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "SET_NODE_POOL_SIZE",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test/nodePools/default-pool",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
輸出訊息

「取得作業狀態」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully fetched operation details.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 動作成功。

Provided cluster location CLUSTER_LOCATION does not exist.

Provided operation name OPERATION_NAME was not found.

Error executing action "Set Node Count". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表列出使用「取得作業狀態」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

可列出叢集

使用「列出叢集」動作，根據指定的搜尋條件列出 GKE 叢集。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「列出叢集」動作需要下列參數：

參數 說明
Cluster Location

必填。

要搜尋叢集的位置，例如 europe-central2-a。
Filter Logic

選填。

要套用的篩選器邏輯。

篩選邏輯適用於 cluster name 欄位。

可能的值如下：

  • Not Specified
  • Equal
  • Contains

預設值為 Not Specified。
Filter Value

選填。

要用於篩選器的值。

篩選邏輯適用於 cluster name 欄位。

如果將 Filter Logic 參數設為 Equal，動作會在結果中搜尋 Filter Value 完全相符的項目。如果將 Filter Logic 參數設為 Contains，動作會搜尋包含您在此參數中指定子字串的結果。如果未設定值，動作會忽略篩選器。
Max Records To Return

選填。

要傳回的記錄數。

預設值為 50。

動作輸出內容

「列出叢集」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件牆表格 可用
充實資料表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
案件牆表格

「列出叢集」動作可以傳回下表：

表格名稱：Found Clusters

資料表欄：

  • ID
  • 名稱
  • 說明
  • 叢集網路
  • 叢集 IPv4 CIDR
  • 標籤
  • 叢集端點
  • Status
  • 位置
  • 可用區
  • 初始叢集版本
  • 目前的主版本
  • 目前節點版本
  • 建立時間
JSON 結果

下列範例顯示使用「列出叢集」動作時收到的 JSON 結果輸出內容：

{
           "name": "cluster-test",
           "description": "Requested by user",
           "nodeConfig": {
               "machineType": "e2-micro",
               "diskSizeGb": 15,
               "oauthScopes": [
                   "https://www.googleapis.com/auth/devstorage.read_only",
                   "https://www.googleapis.com/auth/logging.write",
                   "https://www.googleapis.com/auth/monitoring",
                   "https://www.googleapis.com/auth/servicecontrol",
                   "https://www.googleapis.com/auth/service.management.readonly",
                   "https://www.googleapis.com/auth/trace.append"
               ],
               "metadata": {
                   "disable-legacy-endpoints": "true"
               },
               "imageType": "COS",
               "tags": [
                   "pod-net-tag"
               ],
               "serviceAccount": "default",
               "diskType": "pd-standard",
               "shieldedInstanceConfig": {
                   "enableIntegrityMonitoring": true
               }
           },
           "masterAuth": {
               "clusterCaCertificate": "CERTIFICATE"
           }
}
輸出訊息

「列出叢集」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully found clusters for the provided criteria in GKE.

No clusters were found for the provided criteria in GKE.

 動作成功。

Provided cluster location CLUSTER_LOCATION does not exist.

Invalid value was provided for "Max Records to Return": MAX_RECORDS_TO_RETURN. Positive number should be provided.

Error executing action "List Clusters". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表列出使用「列出叢集」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

列出節點集區

使用「列出節點集區」動作，根據指定的搜尋條件列出 GKE 叢集的節點集區。

篩選邏輯適用於 node pool name 欄位。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「列出節點集區」動作需要下列參數：

參數 說明
Cluster Location

必填。

用於搜尋叢集的位置，例如 europe-central2-a。
Cluster Name

必填。

要搜尋的叢集名稱。
Filter Logic

選填。

要套用的篩選器邏輯。

篩選邏輯適用於 node pool name 欄位。

可能的值如下：

  • Not Specified
  • Equal
  • Contains

預設值為 Not Specified。
Filter Value

選填。

要用於篩選器的值。

篩選邏輯適用於 node pool name 欄位。

如果將 Filter Logic 參數設為 Equal，動作會在結果中搜尋 Filter Value 完全相符的項目。如果將 Filter Logic 參數設為 Contains，動作會搜尋包含您在此參數中指定子字串的結果。如果未設定值，動作會忽略篩選器。
Max Records To Return

選填。

要傳回的記錄數。

預設值為 50。

動作輸出內容

「列出節點集區」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件牆表格 可用
充實資料表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
案件牆表格

「列出節點集區」動作可以傳回下表：

資料表名稱：Found Node Pools

  • 名稱
  • Status
  • 版本
  • 機型
  • 標記
  • 服務帳戶
  • 初始節點數量
  • 自動調度資源
  • Pod 數量上限限制
  • 位置
JSON 結果

以下範例顯示使用「列出節點集區」動作時收到的 JSON 結果輸出內容：

{
    "nodePools": [
        {
            "name": "example-pool",
            "config": {
                "machineType": "e2-micro",
                "diskSizeGb": 15,
                "oauthScopes": [
                    "https://www.googleapis.com/auth/devstorage.read_only",
                    "https://www.googleapis.com/auth/logging.write",
                    "https://www.googleapis.com/auth/monitoring",
                    "https://www.googleapis.com/auth/servicecontrol",
                    "https://www.googleapis.com/auth/service.management.readonly",
                    "https://www.googleapis.com/auth/trace.append"
                ],
                "metadata": {
                    "disable-legacy-endpoints": "true"
                },
                "imageType": "COS",
                "tags": [
                    "pod-net-tag"
                ],
                "serviceAccount": "default",
                "diskType": "pd-standard",
                "shieldedInstanceConfig": {
                    "enableIntegrityMonitoring": true
                }
            },
            "initialNodeCount": 3,
            "autoscaling": {},
            "management": {
                "autoUpgrade": true,
                "autoRepair": true
            },
            "maxPodsConstraint": {
                "maxPodsPerNode": "8"
            },
            "podIpv4CidrSize": 28,
            "locations": [
                "europe-central2-a"
            ],
            "networkConfig": {
                "podRange": "gke-cluster-example-pods-ID",
                "podIpv4CidrBlock": "192.0.2.0/24"
            },
            "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-example/nodePools/example-pool",
            "version": "1.18.20-gke.900",
            "instanceGroupUrls": [
                "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/zones/europe-central2-a/instanceGroupManagers/gke-cluster-example-example-pool-ID-grp"
            ],
            "status": "RUNNING",
            "upgradeSettings": {
                "maxSurge": 1
            }
        }
    ]
}
輸出訊息

「列出節點集區」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully found node pools for cluster CLUSTER_NAME for the provided criteria in GKE.

No node pools were found for cluster CLUSTER_NAME for the provided criteria in GKE.

 動作成功。

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Invalid value was provided for "Max Records to Return": MAX_RECORDS_TO_RETURN. Positive number should be provided.

Error executing action "List Node Pools". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表列出使用「列出節點集區」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

可列出作業

使用「列出作業」動作，根據指定的搜尋條件列出特定位置的 GKE 作業。

篩選邏輯適用於 operation name 欄位。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「列出作業」動作需要下列參數：

參數 說明
Cluster Location

必填。

要搜尋作業的位置，例如 europe-central2-a。
Filter Logic

選填。

要套用的篩選器邏輯。

篩選邏輯適用於 cluster name 欄位。

可能的值如下：

  • Equal
  • Contains

預設值為 Equal。
Filter Value

選填。

要用於篩選器的值。

篩選邏輯適用於 cluster name 欄位。

如果將 Filter Logic 參數設為 Equal，動作會在結果中搜尋 Filter Value 完全相符的項目。如果將 Filter Logic 參數設為 Contains，動作會搜尋包含您在此參數中指定子字串的結果。如果未設定值，動作會忽略篩選器。
Max Records To Return

選填。

要傳回的記錄數。

預設值為 50。

動作輸出內容

「列出作業」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件牆表格 可用
充實資料表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
案件牆表格

「列出作業」動作可以傳回下表：

資料表名稱：Found Operations

資料表欄：

  • 名稱
  • 可用區
  • 作業類型
  • Status
  • 開始時間
  • 結束時間
  • 目標連結
  • 自我連結
JSON 結果

以下範例顯示使用「列出作業」動作時收到的 JSON 結果輸出內容：

{
    "operations": [
        {
            "name": "operation-OPERATION_ID",
            "zone": "europe-central2-a",
            "operationType": "UPGRADE_MASTER",
            "status": "DONE",
            "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
            "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-example",
            "startTime": "2021-08-06T12:33:51.614562051Z",
            "endTime": "2021-08-06T12:38:55.038159801Z"
        },
    ]
}
輸出訊息

「列出作業」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully found operations for the provided criteria in GKE.

No operations were found for the provided criteria in GKE.

動作成功。

Provided cluster location CLUSTER_LOCATION does not exist.

Error executing action "List Operations". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表列出使用「列出作業」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

Ping

使用「Ping」動作測試與 GKE 的連線。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

「Ping」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件牆表格 無法使用
充實資料表 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
輸出訊息

「Ping」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully connected to the GKE service with the provided connection parameters! 動作成功。
Failed to connect to the GKE service! Error is ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

設定叢集外掛程式

使用「Set Cluster Addons」(設定叢集外掛程式) 動作，為 GKE 叢集設定外掛程式。

如果目標叢集正在進行設定變更，就必須等到目前的設定變更完成，才能接受新的設定變更。

這項操作會以非同步方式執行。視需要調整 Google SecOps IDE 設定。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「Set Cluster Addons」(設定叢集外掛程式) 動作需要下列參數：

參數 說明
Cluster Location

必填。

用於搜尋叢集的位置，例如 europe-central2-a。
Cluster Name

必填。

要搜尋的叢集名稱。
HTTP Load Balancing

選填。

HTTP 負載平衡外掛程式的值。

可能的值如下：

  • Not Changed
  • Disabled
  • Enabled

預設值為 Not Changed。
Horizontal Pod Autoscaling

選填。

水平自動調度 Pod 資源外掛程式的值。

可能的值如下：

  • Not Changed
  • Disabled
  • Enabled

預設值為 Not Changed。
Network Policy Config

選填。

網路政策設定外掛程式的值。

可能的值如下：

  • Not Changed
  • Disabled
  • Enabled

預設值為 Not Changed。
Cloud Run Config

選填。

Cloud Run 設定外掛程式的值。

可能的值如下：

  • Not Changed
  • Disabled
  • Enabled, Load Balancer Type Unspecified
  • Enabled, Load Balancer Type External
  • Enabled, Load Balancer Type Internal

預設值為 Not Changed。
DNS Cache Config

選填。

DNS 快取設定外掛程式的值。

可能的值如下：

  • Not Changed
  • Disabled
  • Enabled

預設值為 Not Changed。
Config Connector Config

選填。

Config Connector 設定外掛程式的值。

可能的值如下：

  • Not Changed
  • Disabled
  • Enabled

預設值為 Not Changed。
Persistent Disk Csi Driver Config

選填。

指定 Compute Engine 永久磁碟容器儲存介面 (CSI) 驅動程式設定外掛程式的值。

可能的值如下：

  • Not Changed
  • Disabled
  • Enabled

預設值為 Not Changed。
Wait for cluster configuration change operation to finish

選填。

如果選取此選項，動作會等待叢集設定變更作業的結果。

(此為預設選項)。

動作輸出內容

「設定叢集外掛程式」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件牆表格 無法使用
充實資料表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

下列範例顯示使用「Set Cluster Addons」動作時收到的 JSON 結果輸出內容：

{
   "name": "operation-OPERATION_ID",
   "zone": "europe-central2-a",
   "operationType": "UPDATE_CLUSTER",
   "status": "RUNNING",
   "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
   "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test",
   "startTime": "2021-08-15T11:34:43.051036236Z"
}
輸出訊息

「Set Cluster Addons」(設定叢集外掛程式) 動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully created cluster configuration change operation.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 動作成功。

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Error executing action "Set Cluster Addons". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表列出使用「設定叢集外掛程式」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

設定叢集標籤

使用「Set Cluster Labels」(設定叢集標籤) 動作，為 GKE 叢集設定標籤。這項動作會將新標籤附加至現有叢集標籤。

如果目標叢集正在進行設定變更，就必須等到目前的設定變更完成，才能接受新的設定變更。

這項操作會以非同步方式執行。視需要調整 Google SecOps IDE 設定。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「設定叢集標籤」動作需要下列參數：

參數 說明
Cluster Location

必填。

用於搜尋叢集的位置，例如 europe-central2-a。
Cluster Name

必填。

要搜尋的叢集名稱。
Cluster Labels

必填。

內含要新增至叢集的標籤的 JSON 物件。這項動作會將新標籤附加至現有叢集標籤。

預設值如下：

{
      "key1":"value1",
      "key2":"value2"
      }
Wait for cluster configuration change operation to finish

選填。

如果選取此選項，動作會等待叢集設定變更作業的結果。

預設為未選取。

動作輸出內容

「設定叢集標籤」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件牆表格 無法使用
充實資料表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

下列範例顯示使用「設定叢集標籤」動作時收到的 JSON 結果輸出內容：

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "UPDATE_CLUSTER",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
輸出訊息

「Set Cluster Labels」(設定叢集標籤) 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully created cluster configuration change operation.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

動作成功。

Provided cluster location CLUSTER_LOCATION does not exist.

Invalid value was provided for the cluster labels: CLUSTER_LABELS.

Error executing action "Set Cluster Labels". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表列出使用「設定叢集標籤」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

設定節點自動調度資源功能

使用「設定節點自動調度資源」動作，為 GKE 叢集設定節點集區自動調度資源設定。這項動作為非同步。

如果目標叢集正在進行設定變更，就必須等到目前的設定變更完成，才能接受新的設定變更。

這項操作會以非同步方式執行。視需要調整 Google SecOps IDE 設定。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「設定節點自動調度資源」動作需要下列參數：

參數 說明
Cluster Location

必填。

用於搜尋叢集的位置，例如 europe-central2-a。
Cluster Name

必填。

要搜尋的叢集名稱。
Node Pool Name

必填。

叢集的節點集區名稱。
Autoscaling Mode

選填。

節點集區的自動調度模式狀態。

可能的值如下：

  • Not Changed
  • Enabled
  • Disabled

預設值為 Not Changed。
Minimum Node Count

選填。

節點集區設定的節點數量下限。
Maximum Node Count

選填。

節點集區設定的節點數量上限。
Wait for cluster configuration change operation to finish

選填。

如果選取此選項，動作會等待叢集設定變更作業的結果。

預設為未選取。

動作輸出內容

「Set Node Autoscaling」(設定節點自動調度資源) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件牆表格 無法使用
充實資料表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例顯示使用「設定節點自動調整功能」動作時收到的 JSON 結果輸出內容：

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "UPDATE_CLUSTER",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
輸出訊息

「Set Node Autoscaling」(設定節點自動調度資源) 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully created cluster node pool configuration change operation.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 動作成功。

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Error executing action "Set Node Autoscaling". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表列出使用「設定節點自動調度資源」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

設定節點集區管理功能

使用「設定節點集區管理」動作，為 GKE 叢集設定節點集區管理設定。

這項操作會以非同步方式執行。視需要調整 Google SecOps IDE 設定。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「設定節點集區管理功能」動作需要下列參數：

參數 說明
Cluster Location

必填。

用於搜尋叢集的位置，例如 europe-central2-a。
Cluster Name

必填。

要搜尋的叢集名稱。
Node Pool Name

必填。

GKE 叢集的節點集區名稱。
Auto Upgrade

選填。

自動升級管理功能的狀態。
Auto Repair

選填。

自動修復管理功能的狀態。
Wait for cluster configuration change operation to finish

選填。

如果選取此選項，動作會等待叢集設定變更作業的結果。

預設為未選取。

動作輸出內容

「設定節點集區管理功能」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件牆表格 無法使用
充實資料表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例顯示使用「設定節點集區管理」動作時收到的 JSON 結果輸出內容：

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "SET_NODE_POOL_MANAGEMENT",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test/nodePools/default-pool",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
輸出訊息

「設定節點集區管理」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully created cluster node pool configuration change operation.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 動作成功。

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Provided node pool name NODE_POOL_NAME was not found.

Error executing action "Set Node Pool Management". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表列出使用「設定節點集區管理」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

設定節點數

使用「設定節點數」動作，設定 GKE 叢集節點集區的節點數。

這項操作會以非同步方式執行。視需要調整 Google SecOps IDE 設定。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「設定節點數」動作需要下列參數：

參數 說明
Cluster Location

必填。

用於搜尋叢集的位置，例如 europe-central2-a。
Cluster Name

必填。

要搜尋的叢集名稱。
Node Pool Name

必填。

GKE 叢集的節點集區名稱。
Node Count

必填。

GKE 叢集節點集區的節點數量。
Wait for cluster configuration change operation to finish

選填。

如果選取此選項，動作會等待叢集設定變更作業的結果。

預設為未選取。

動作輸出內容

「設定節點計數」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件牆表格 無法使用
充實資料表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例顯示使用「設定節點計數」動作時收到的 JSON 結果輸出內容：

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "SET_NODE_POOL_SIZE",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test/nodePools/default-pool",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
輸出訊息

「設定節點計數」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully created cluster node pool configuration change operation.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 動作成功。

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Provided node pool name NODE_POOL_NAME was not found.

Invalid value was provided for the node count: NODE_COUNT. The value should be a positive number.

Error executing action "Set Node Count". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表列出使用「設定節點計數」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。