<div id="readability-page-1" class="page"><div><div><a rel="noopener follow" href="/@jwlee98?source=post_page-----7471c19b834e--------------------------------"><div aria-hidden="false"><img alt="이정운 (Jungwoon Lee)" src="https://miro.medium.com/v2/resize:fill:88:88/1*W5pMJxahQmN3zdBP-jAOlA@2x.jpeg" width="44" height="44" loading="lazy" data-testid="authorPhoto"></div></a><a href="https://medium.com/google-cloud-apac?source=post_page-----7471c19b834e--------------------------------" rel="noopener follow"><div aria-hidden="false"><img alt="google-cloud-apac" src="https://miro.medium.com/v2/resize:fill:48:48/1*p8Ffj0HLDNxmF3go5GUwIA.png" width="24" height="24" loading="lazy" data-testid="publicationPhoto"></div></a></div>안녕하세요 이정운 입니다.일반적으로 Google cloud 환경을 기업에서 사용할 때 고려해야 하는 사항중의 하나는 각각의 프로젝트가 회사가 가지고 있는 Best Practice 규정대로 잘 구성했는지 여부나 회사 가이드에 따라 보안에 대한 고려사항들이 적절하게 구성되었는지 여부를 어떻게 주기적으로 점검 or 체크할 것인가 입니다. 소수의 프로젝트들을 사용하는 경우에는 그리 어렵지 않겠지만 조직이 커지면 커질수록 이런 규정이나 보안에 대한 고려사항이 잘 지켜지고 있는지, 또는 제대로 적용했는지 확인하는 일이 또다른 큰 일이 되는 경우가 다반사입니다. 이러한 작업들을 좀 더 효율적으로 하기 위해서 이번에 Google cloud 에서는 Workload Manager Evaluation 에 custom rule 기능을 추가하여 고객이 자유롭게 규칙을 만들고 스케줄에 따라 자동으로 여러 프로젝트들에 대해서 평가를 수행할 수 있는 기반을 제공할 수 있게 되었습니다.Workload Manager Evaluation 은 규칙(Rule) 기반 평가 서비스를 사용하여 대상 프로젝트 내의 자원(Asset)을 스캔하여 표준, 규칙 및 모범 사례와의 편차를 감지하여 시스템 품질, 안정성 및 성능을 개선하는 목적으로 활용할 수 있으며 단순하게 일회성 검사를 수행할 수도 있고 스케줄링 기능을 포함하고 있어서 지속적으로 평가할 수도 있습니다.About Workload Manager Evaluation <a href="https://cloud.google.com/workload-manager/docs/about-evaluations" rel="noopener ugc nofollow" target="_blank">https://cloud.google.com/workload-manager/docs/about-evaluations</a><figure></figure>예를 들어 배포된 VM이 Compute Engine 기본 서비스 계정을 사용하지 않도록 하는 사용자 지정 규칙을 만들 수 있으며 그 규칙을 만든 후 Workload Manager 에서 Evaluation 을 실행하여 규칙에 대해 해당 자원들을 검증할 수 있습니다. 그런 다음 평가 결과를 검토하여 이러한 규칙 위반에 대한 수정 단계를 수행하도록 요청하여 배포의 품질, 안정성 및 성능을 개선하는 데 도움을 줄 수 있습니다.About custom rules in Workload Manager <a href="https://cloud.google.com/workload-manager/docs/evaluate/custom-rules/about-custom-rules" rel="noopener ugc nofollow" target="_blank">https://cloud.google.com/workload-manager/docs/evaluate/custom-rules/about-custom-rules</a><figure></figure>그럼 지금부터 Workload Manager Evaluation 의 Custom rule 을 직접 만들어보면서 어떻게 Workload Manager 가 동작하는지 알아보는 시간을 가져보도록 하겠습니다.</div><div>#1) Workload Manager Custom rule 설정하기Evaluate your workloads using custom rules <a href="https://cloud.google.com/workload-manager/docs/evaluate/custom-rules/evaluate-using-custom-rules" rel="noopener ugc nofollow" target="_blank">https://cloud.google.com/workload-manager/docs/evaluate/custom-rules/evaluate-using-custom-rules</a>Workload Manager 의 설명은 이전 파트를 참고하시면 되며 해야할 작업은 크게 원하는 규칙(Custom rule) 을 만들고 평가(Evaluation) 을 수행해야 하는데 먼저 이를 위한 Consumer project 가 필요합니다.(가급적 별도 프로젝트 추천) 그럼 Custom rule 을 설정하고 Evaluation 수행을 위한 Consumer project 로 사용할 빈 프로젝트를 하나 생성합니다. (Workload Manager 에 대한 Custom rule 을 만들고 Evaluation 돌릴 새로운 프로젝트)<figure></figure>새롭게 생성한 Consumer project 에서 Workload Manager 사용을 위해서는 관리콘솔에서 APIs &amp; Service &gt; Enabled APIs &amp; services 메뉴에서 Workload Manager API 를 enable 합니다.<figure></figure>Workload Manager 의 custom rule 과 evaluation 을 만드는 사용자에게 필요한 기본 권한을 부여 합니다. 참고로 가급적 Organization 에서 Project IAM Admin 권한이 있는 사용자로 작업하는것을 추천합니다.<figure></figure>참고 #1.1) 각 단계별 필요한 권한에 대해서 세부 정리된 내용은 하단의 링크를 참고하시기 바라겠습니다. <a href="https://cloud.google.com/workload-manager/docs/roles#summary_of_required_permissions_to_create_and_run_an_evaluation" rel="noopener ugc nofollow" target="_blank">https://cloud.google.com/workload-manager/docs/roles#summary_of_required_permissions_to_create_and_run_an_evaluation</a><figure></figure>Workload Manager 에서 사용되는 Custom rule 을 만들고 수행하기 위해서는 해당 Rule 을 OPA 에서 사용하는 Policy language 인 REGO 로 작성해야 합니다.(<a href="https://www.openpolicyagent.org/docs/latest/policy-language/" rel="noopener ugc nofollow" target="_blank">link</a>) 이후 GCS 에서 bucket 을 하나 만들고 lib, rules 라는 폴더를 생성해서 rules 폴더 밑에 REGO 로 만든 custom rule 용 .rego 파일을 넣어주면 됩니다. (실제적으로 lib 폴더가 필수는 아니지만 lib 폴더에는 Google 에서 만든 유틸리티 소스 파일들을 확인 가능합니다.)<figure></figure>이때 폴더 구조와 필요한 파일들은 하단의 공식 github 를 참고하시면 됩니다. github 참고하여 lib 에 포함되어 있는 github 의 lib 폴더안의 파일을 그대로 GCS 의 lib 하위로 복사 및 rules 밑에 테스트하고자 하는 custom rule 이 정의된 .rego 파일을 복사해서 사용하면 됩니다.(예:use_default_sa.rego) (참고로 use_default_sa.rego 는 소스를 보시면 아실수 있겠지만 GCE 에서 default service account 를 사용하는 인스턴스를 찾아내는 custom rule 입니다.(일반적으로 보안 권장상 default service account 대신에 필요한 권한만 부여한 custom service account 사용을 권장하기 때문에)Google Rego Rules for Workload Manager: Custom rules <a href="https://github.com/GoogleCloudPlatform/workload-manager" rel="noopener ugc nofollow" target="_blank">https://github.com/GoogleCloudPlatform/workload-manager</a><figure></figure>Github 에서 제공되는 샘플 소스 중에 use_default_sa.rego 라는 소스를 예제로 살펴보면 주석에도 언급되어 있지만 GCE 인스턴스에서 default service account 를 사용하는 것을 점검하는 REGO 소스입니다.(보안 관점상 GCE 인스턴스에 default service account 를 사용하기 보다 필요 권한에 맞게 custom service account 를 사용하는 것이 권장 사항입니다.)<a href="https://github.com/GoogleCloudPlatform/workload-manager/blob/main/rules/compute/use_default_sa.rego" rel="noopener ugc nofollow" target="_blank">https://github.com/GoogleCloudPlatform/workload-manager/blob/main/rules/compute/use_default_sa.rego</a><pre>######################################################################## # DETAILS: MUST NOT use default service account # SEVERITY: Medium # ASSET_TYPE: compute.googleapis.com/Instance # TAGS: Defaults, Management, Compute Engine ########################################################################package templates.google.compute.defaultserviceAccount# 필요한 라이브러리 가져오기 # - lib: Google Cloud Platform 관련 유틸리티 함수 # - gparam: 전역 파라미터 관리 # - future.keywords: Rego 언어 확장 기능 import data.validator.google.lib as lib import data.validator.google.lib.parameters as gparam import future.keywords# 평가 대상 자산 유형 설정 asset_type = "compute.googleapis.com/Instance" # 입력 자산 할당 asset := input.asset# 서비스 계정 정보가 없는 경우 빈 배열로 초기화하여 input_enriched 객체 생성 input_enriched := object.union({"resource": {"data": {"serviceAccounts": []}}}, asset)# compute 관련 전역 파라미터 가져오기 (기본값: 빈 객체 {}) params := lib.get_default(gparam.global_parameters, "compute", {})# deny 규칙 정의 deny[{ # 위반 시 출력될 메시지 "msg": "Disallowed default service account", # 위반 인스턴스 이름 정보 "details": {"name": asset.name}, }] { # asset_type 이 무시해야 할 유형이 아니라면 (즉, Compute Engine 인스턴스라면) not lib.asset_type_should_be_skipped(asset_type) # 인스턴스에 연결된 모든 서비스 계정 순회 account = input_enriched.resource.data.serviceAccounts[_] # 서비스 계정 이메일 주소가 기본 서비스 계정 주소(params.default_sa)로 끝나는 경우 deny endswith(account.email, params.default_sa) }</pre>해당 Custom rule 을 가지고 Workload Manager 의 Evaluation 을 수행하기 위해서는 생성해둔 GCS bucket 에 가서 rules 폴더 밑에 하단과 같이 사용할 use_default_sa.rego 파일을 넣어두면 됩니다.<figure></figure>참고 #1.2) 참고로 Rego 라는 policy language 를 통해서 다양한 Custom rule 을 만들 수 있으며 해당 부분의 상세 내용은 하단의 링크를 참고하시기 바라겠습니다.Write custom rules using Rego <a href="https://cloud.google.com/workload-manager/docs/evaluate/custom-rules/rego-custom-rules" rel="noopener ugc nofollow" target="_blank">https://cloud.google.com/workload-manager/docs/evaluate/custom-rules/rego-custom-rules</a>참고 #1.3) Custom rule 을 위해서 작성된 rego 소스에 주석처럼 보이는 하단의 내용은 주석이 아니라 메타데이터라 반드시 필요하며 해당 내용을 기반으로 하단과 같이 인식됩니다. (특히, ASSET_TYPE 은 필수)<pre>######################################################################## # DETAILS: MUST NOT use default service account # SEVERITY: Medium # ASSET_TYPE: compute.googleapis.com/Instance # TAGS: Defaults, Management, Compute Engine ########################################################################</pre><figure></figure></div><div>#2) Workload Manager Evaluation 생성하기Create and run an evaluation <a href="https://cloud.google.com/workload-manager/docs/create-evaluation" rel="noopener ugc nofollow" target="_blank">https://cloud.google.com/workload-manager/docs/create-evaluation</a>Workload Manager 의 설명은 이전 파트를 참고하시면 되며 해야할 작업은 크게 원하는 규칙(Custom rule) 을 만들고 평가(Evaluation) 을 수행해야 하는데 먼저 이를 위이렇게 하면 기본 준비가 되었으므로 이제 Workload manager 의 custom rule 만들기(Workload manager &gt; evaluations 메뉴) 를 해보도록 하겠습니다. 관리콘솔에서 Workload Manager &gt; Evaluations 메뉴에서 New evaluation 버튼을 클릭하여 새로운 Evaluation 을 생성합니다.마법사 메뉴에서 Workload type 은 general 을 선택하고 Custom rule 로 만들어 둔 REGO 소스와 lib 이 있는 GCS bucket 을 선택하고 다음을 클릭합니다.<figure></figure>최초로 작업하는 경우 Workload Manager 가 사용하는 Service account 가 GCS bucket 에 대한 접근 권한을 부여하지 않았기 때문에 하단의 팝업이 뜨며 Grant 를 선택하면 자동으로 GCS bucket 에 대한 viewer 권한을 부여합니다.<figure></figure>생성 마법사 중에 Evaluation 을 진행할 대상 프로젝트를 선택하고 다음을 클릭합니다.<figure></figure>이전에 설정한 GCS 버킷의 내용을 읽어서 evaluation rules 을 표시합니다. 이때 사용할 Rule 이 잘 나오는지 확인 및 실제 사용할 Rule 을 체크하고 다음을 클릭합니다.<figure></figure>스케줄링을 정할수도 있는데 필요에 따라 원하는 스케줄을 선택한 후 다음을 클릭합니다.<figure></figure>Notifications 는 처음 생성시에는 설정되지 않으며 향후 수정을 통해서 사용가능합니다. 그냥 다음을 클릭합니다.<figure></figure>최종적으로 마법사로 설정한 설정을 review 한 후 이상이 없다면 생성을 클릭하여 새로운 Evaluation 을 생성합니다.<figure></figure>최초로 Workload Manager 에서 Custom rule 을 만드는 경우, Workload Manager 가 사용하는 Service account 에서 Evaluation 을 생성하기 위한 권한에 대해서 하단과 같은 팝업이 뜨며 ‘Grant and Create’ 를 선택하면 자동으로 권한을 부여하고 Evaluation 이 생성됩니다. (초기 생성시에 시간이 좀 소요됩니다. (10분이상 걸림) 그 다음부터는 1~2분 안에 생성됨)<figure></figure>일정 시간 이후 정상적으로 Evaluations 가 생성되면 하단과 같이 생성된 Evaluation 을 메뉴에서 확인이 가능합니다.<figure></figure>생성된 Evaluation 을 클릭하여 정보들을 확인 한 후 ‘Run Execution’ 을 해서 실제 평가작업을 수행시켜 봅니다.<figure></figure>이때, Evaluation 수행을 한번더 체크하는 팝업이 뜨는데 ‘Evaluate’ 를 클릭해서 진행합니다. (이것도 대상 프로젝트에 따라(또는 대상 프로젝트의 개수에 따라) 시간이 오래 소요됩니다. 제 환경에서는 10~20분 정도 걸리는 것으로 보입니다.)<figure></figure>정상적으로 Evaluation 수행이 완료되면 하단과 같이 결과를 확인할 수 있습니다. 이전에 만들어서 사용한 Custom rule 이 use_default_sa.rego 라 GCE 에서 default service account 를 사용한 것들을 찾아서 있다면 issues 로 알려준다고 보시면 됩니다.(조건이 모두 정상이라면 녹색 passed 로 나옵니다.)<figure></figure>참고 #2.1) Consumer project 에서 자동 생성된 Workload Manager 의 Service account 는 하단과 같은 권한이 부여되어 있어야 합니다. (참고로 IAM 에서 Include Google-provided role grants 옵션을 켜야 보입니다. BigQuery Data Editor 는 BigQuery 연동 설정을 하신 경우에만 필요합니다.)<figure></figure>참고 #2.2) Target project 에서 자동 생성된 Workload Manager 의 Service account 는 하단과 같이 Consumer project 의 project number 와 함께 해당 권한이 부여되어 있어야 합니다.<figure></figure>참고 #2.3) 추가적으로 notification 을 사용하시려면 Service Usage Consumer, Monitoring Metric Writer 권한이 추가 필요합니다.<a href="https://cloud.google.com/workload-manager/docs/evaluate/troubleshooting#notifications-disabled" rel="noopener ugc nofollow" target="_blank">https://cloud.google.com/workload-manager/docs/evaluate/troubleshooting#notifications-disabled</a><figure></figure>참고 #2.4) 향후 활용을 위해서 BigQuery 로 evaluation result 를 넣으실 수 있으며, 하단과 같이 Evaluation 초기 생성시에 설정하시면 됩니다. 추가적으로 regional dataset 을 선택해야하며 workload manager 지원 location 중의 하나를 선택해야 합니다. — <a href="https://cloud.google.com/workload-manager/docs/evaluate/locations" rel="noopener ugc nofollow" target="_blank">Link</a><figure></figure></div></div>

Stories by 이정운 (Jungwoon Lee) on Medium

[GCP]규칙 기반 평가 서비스 제공을 위한 Workload Manager Evaluation 알아보기 — #1 Workload Manager Evaluation
안녕하세요 이정운 입니다.
일반적으로 Google cloud 환경을 기업에서 사용할 때 고려해야 하는 사항중의 하나는 각각의 프로젝트가 회사가 가지고 있는 Best Practice 규정대로 잘 구성했는지 여부나 회사 가이드에 따라 보안에 대한 고려사항들이 적절하게 구성되었는지 여부를 어떻게 주기적으로 점검 or 체크할 것인가 입니다. 소수의 프로젝트들을 사용하는 경우에는 그리 어렵지 않겠지만 조직이 커지면 커질수록 이런 규정이나 보안에 대한 고려사항이 잘 지켜지고 있는지, 또는 제대로 적용했는지 확인하는 일이 또다른 큰 일이 되는 경우가 다반사입니다. 이러한 작업들을 좀 더 효율적으로 하기 위해서 이번에 Google cloud 에서는 Workload Manager Evaluation 에 custom rule 기능을 추가하여 고객이 자유롭게 규칙을 만들고 스케줄에 따라 자동으로 여러 프로젝트들에 대해서 평가를 수행할 수 있는 기반을 제공할 수 있게 되었습니다.
Workload Manager Evaluation 은 규칙(Rule) 기반 평가 서비스를 사용하여 대상 프로젝트 내의 자원(Asset)을 스캔하여 표준, 규칙 및 모범 사례와의 편차를 감지하여 시스템 품질, 안정성 및 성능을 개선하는 목적으로 활용할 수 있으며 단순하게 일회성 검사를 수행할 수도 있고 스케줄링 기능을 포함하고 있어서 지속적으로 평가할 수도 있습니다.
About Workload Manager Evaluation
https://cloud.google.com/workload-manager/docs/about-evaluations
예를 들어 배포된 VM이 Compute Engine 기본 서비스 계정을 사용하지 않도록 하는 사용자 지정 규칙을 만들 수 있으며 그 규칙을 만든 후 Workload Manager 에서 Evaluation 을 실행하여 규칙에 대해 해당 자원들을 검증할 수 있습니다. 그런 다음 평가 결과를 검토하여 이러한 규칙 위반에 대한 수정 단계를 수행하도록 요청하여 배포의 품질, 안정성 및 성능을 개선하는 데 도움을 줄 수 있습니다.
About custom rules in Workload Manager
https://cloud.google.com/workload-manager/docs/evaluate/custom-rules/about-custom-rules
그럼 지금부터 Workload Manager Evaluation 의 Custom rule 을 직접 만들어보면서 어떻게 Workload Manager 가 동작하는지 알아보는 시간을 가져보도록 하겠습니다.
#1) Workload Manager Custom rule 설정하기
Evaluate your workloads using custom rules
https://cloud.google.com/workload-manager/docs/evaluate/custom-rules/evaluate-using-custom-rules
Workload Manager 의 설명은 이전 파트를 참고하시면 되며 해야할 작업은 크게 원하는 규칙(Custom rule) 을 만들고 평가(Evaluation) 을 수행해야 하는데 먼저 이를 위한 Consumer project 가 필요합니다.(가급적 별도 프로젝트 추천) 그럼 Custom rule 을 설정하고 Evaluation 수행을 위한 Consumer project 로 사용할 빈 프로젝트를 하나 생성합니다. (Workload Manager 에 대한 Custom rule 을 만들고 Evaluation 돌릴 새로운 프로젝트)
새롭게 생성한 Consumer project 에서 Workload Manager 사용을 위해서는 관리콘솔에서 APIs & Service > Enabled APIs & services 메뉴에서 Workload Manager API 를 enable 합니다.
Workload Manager 의 custom rule 과 evaluation 을 만드는 사용자에게 필요한 기본 권한을 부여 합니다. 참고로 가급적 Organization 에서 Project IAM Admin 권한이 있는 사용자로 작업하는것을 추천합니다.
참고 #1.1) 각 단계별 필요한 권한에 대해서 세부 정리된 내용은 하단의 링크를 참고하시기 바라겠습니다.
https://cloud.google.com/workload-manager/docs/roles#summary_of_required_permissions_to_create_and_run_an_evaluation
Workload Manager 에서 사용되는 Custom rule 을 만들고 수행하기 위해서는 해당 Rule 을 OPA 에서 사용하는 Policy language 인 REGO 로 작성해야 합니다.(link) 이후 GCS 에서 bucket 을 하나 만들고 lib, rules 라는 폴더를 생성해서 rules 폴더 밑에 REGO 로 만든 custom rule 용 .rego 파일을 넣어주면 됩니다. (실제적으로 lib 폴더가 필수는 아니지만 lib 폴더에는 Google 에서 만든 유틸리티 소스 파일들을 확인 가능합니다.)
이때 폴더 구조와 필요한 파일들은 하단의 공식 github 를 참고하시면 됩니다. github 참고하여 lib 에 포함되어 있는 github 의 lib 폴더안의 파일을 그대로 GCS 의 lib 하위로 복사 및 rules 밑에 테스트하고자 하는 custom rule 이 정의된 .rego 파일을 복사해서 사용하면 됩니다.(예:use_default_sa.rego) (참고로 use_default_sa.rego 는 소스를 보시면 아실수 있겠지만 GCE 에서 default service account 를 사용하는 인스턴스를 찾아내는 custom rule 입니다.(일반적으로 보안 권장상 default service account 대신에 필요한 권한만 부여한 custom service account 사용을 권장하기 때문에)
Google Rego Rules for Workload Manager: Custom rules
https://github.com/GoogleCloudPlatform/workload-manager
Github 에서 제공되는 샘플 소스 중에 use_default_sa.rego 라는 소스를 예제로 살펴보면 주석에도 언급되어 있지만 GCE 인스턴스에서 default service account 를 사용하는 것을 점검하는 REGO 소스입니다.(보안 관점상 GCE 인스턴스에 default service account 를 사용하기 보다 필요 권한에 맞게 custom service account 를 사용하는 것이 권장 사항입니다.)
https://github.com/GoogleCloudPlatform/workload-manager/blob/main/rules/compute/use_default_sa.rego
########################################################################
# DETAILS:  MUST NOT use default service account
# SEVERITY: Medium
# ASSET_TYPE: compute.googleapis.com/Instance
# TAGS: Defaults, Management, Compute Engine
########################################################################
package templates.google.compute.defaultserviceAccount
# 필요한 라이브러리 가져오기
# - lib: Google Cloud Platform 관련 유틸리티 함수
# - gparam: 전역 파라미터 관리
# - future.keywords: Rego 언어 확장 기능
import data.validator.google.lib as lib
import data.validator.google.lib.parameters as gparam
import future.keywords
# 평가 대상 자산 유형 설정
asset_type = "compute.googleapis.com/Instance" 
# 입력 자산 할당
asset := input.asset
# 서비스 계정 정보가 없는 경우 빈 배열로 초기화하여 input_enriched 객체 생성
input_enriched := object.union({"resource": {"data": {"serviceAccounts": []}}}, asset)
# compute 관련 전역 파라미터 가져오기 (기본값: 빈 객체 {})
params := lib.get_default(gparam.global_parameters, "compute", {})
# deny 규칙 정의
deny[{
 # 위반 시 출력될 메시지
 "msg": "Disallowed default service account",
 # 위반 인스턴스 이름 정보
 "details": {"name": asset.name},
}] {
 # asset_type 이 무시해야 할 유형이 아니라면 (즉, Compute Engine 인스턴스라면)
 not lib.asset_type_should_be_skipped(asset_type)
 # 인스턴스에 연결된 모든 서비스 계정 순회
 account = input_enriched.resource.data.serviceAccounts[_]
 # 서비스 계정 이메일 주소가 기본 서비스 계정 주소(params.default_sa)로 끝나는 경우 deny
 endswith(account.email, params.default_sa)
}
해당 Custom rule 을 가지고 Workload Manager 의 Evaluation 을 수행하기 위해서는 생성해둔 GCS bucket 에 가서 rules 폴더 밑에 하단과 같이 사용할 use_default_sa.rego 파일을 넣어두면 됩니다.
참고 #1.2) 참고로 Rego 라는 policy language 를 통해서 다양한 Custom rule 을 만들 수 있으며 해당 부분의 상세 내용은 하단의 링크를 참고하시기 바라겠습니다.
Write custom rules using Rego
https://cloud.google.com/workload-manager/docs/evaluate/custom-rules/rego-custom-rules
참고 #1.3) Custom rule 을 위해서 작성된 rego 소스에 주석처럼 보이는 하단의 내용은 주석이 아니라 메타데이터라 반드시 필요하며 해당 내용을 기반으로 하단과 같이 인식됩니다. (특히, ASSET_TYPE 은 필수)
########################################################################
# DETAILS:  MUST NOT use default service account
# SEVERITY: Medium
# ASSET_TYPE: compute.googleapis.com/Instance
# TAGS: Defaults, Management, Compute Engine
########################################################################
#2) Workload Manager Evaluation 생성하기
Create and run an evaluation
https://cloud.google.com/workload-manager/docs/create-evaluation
Workload Manager 의 설명은 이전 파트를 참고하시면 되며 해야할 작업은 크게 원하는 규칙(Custom rule) 을 만들고 평가(Evaluation) 을 수행해야 하는데 먼저 이를 위이렇게 하면 기본 준비가 되었으므로 이제 Workload manager 의 custom rule 만들기(Workload manager > evaluations 메뉴) 를 해보도록 하겠습니다. 관리콘솔에서 Workload Manager > Evaluations 메뉴에서 New evaluation 버튼을 클릭하여 새로운 Evaluation 을 생성합니다.
마법사 메뉴에서 Workload type 은 general 을 선택하고 Custom rule 로 만들어 둔 REGO 소스와 lib 이 있는 GCS bucket 을 선택하고 다음을 클릭합니다.
최초로 작업하는 경우 Workload Manager 가 사용하는 Service account 가 GCS bucket 에 대한 접근 권한을 부여하지 않았기 때문에 하단의 팝업이 뜨며 Grant 를 선택하면 자동으로 GCS bucket 에 대한 viewer 권한을 부여합니다.
생성 마법사 중에 Evaluation 을 진행할 대상 프로젝트를 선택하고 다음을 클릭합니다.
이전에 설정한 GCS 버킷의 내용을 읽어서 evaluation rules 을 표시합니다. 이때 사용할 Rule 이 잘 나오는지 확인 및 실제 사용할 Rule 을 체크하고 다음을 클릭합니다.
스케줄링을 정할수도 있는데 필요에 따라 원하는 스케줄을 선택한 후 다음을 클릭합니다.
Notifications 는 처음 생성시에는 설정되지 않으며 향후 수정을 통해서 사용가능합니다. 그냥 다음을 클릭합니다.
최종적으로 마법사로 설정한 설정을 review 한 후 이상이 없다면 생성을 클릭하여 새로운 Evaluation 을 생성합니다.
최초로 Workload Manager 에서 Custom rule 을 만드는 경우, Workload Manager 가 사용하는 Service account 에서 Evaluation 을 생성하기 위한 권한에 대해서 하단과 같은 팝업이 뜨며 ‘Grant and Create’ 를 선택하면 자동으로 권한을 부여하고 Evaluation 이 생성됩니다. (초기 생성시에 시간이 좀 소요됩니다. (10분이상 걸림) 그 다음부터는 1~2분 안에 생성됨)
일정 시간 이후 정상적으로 Evaluations 가 생성되면 하단과 같이 생성된 Evaluation 을 메뉴에서 확인이 가능합니다.
생성된 Evaluation 을 클릭하여 정보들을 확인 한 후 ‘Run Execution’ 을 해서 실제 평가작업을 수행시켜 봅니다.
이때, Evaluation 수행을 한번더 체크하는 팝업이 뜨는데 ‘Evaluate’ 를 클릭해서 진행합니다. (이것도 대상 프로젝트에 따라(또는 대상 프로젝트의 개수에 따라) 시간이 오래 소요됩니다. 제 환경에서는 10~20분 정도 걸리는 것으로 보입니다.)
정상적으로 Evaluation 수행이 완료되면 하단과 같이 결과를 확인할 수 있습니다. 이전에 만들어서 사용한 Custom rule 이 use_default_sa.rego 라 GCE 에서 default service account 를 사용한 것들을 찾아서 있다면 issues 로 알려준다고 보시면 됩니다.(조건이 모두 정상이라면 녹색 passed 로 나옵니다.)
참고 #2.1) Consumer project 에서 자동 생성된 Workload Manager 의 Service account 는 하단과 같은 권한이 부여되어 있어야 합니다. (참고로 IAM 에서 Include Google-provided role grants 옵션을 켜야 보입니다. BigQuery Data Editor 는 BigQuery 연동 설정을 하신 경우에만 필요합니다.)
참고 #2.2) Target project 에서 자동 생성된 Workload Manager 의 Service account 는 하단과 같이 Consumer project 의 project number 와 함께 해당 권한이 부여되어 있어야 합니다.
참고 #2.3) 추가적으로 notification 을 사용하시려면 Service Usage Consumer, Monitoring Metric Writer 권한이 추가 필요합니다.
https://cloud.google.com/workload-manager/docs/evaluate/troubleshooting#notifications-disabled
참고 #2.4) 향후 활용을 위해서 BigQuery 로 evaluation result 를 넣으실 수 있으며, 하단과 같이 Evaluation 초기 생성시에 설정하시면 됩니다. 추가적으로 regional dataset 을 선택해야하며 workload manager 지원 location 중의 하나를 선택해야 합니다. — Link
지금까지 Workload Manager 을 사용하여 원하는 형태로 Custom rule 을 policy language 인 REGO 로 작성하고 등록한 후에 Evaluation 을 수행하여 대상 프로젝트 내의 자원을 스캔해서 지정된 규칙과 편차가 있는 것을 찾아내는 간단한 테스트를 수행해봤습니다. 이를 통해서 Workload Manager 와 Custom rule 을 활용하여 어떤 작업을 할 수 있는 것인지 기본적으로 알아볼 수 있는 시간이 되었을것이라고 생각합니다. 결국은 여기서 어떻게 더 다양한 Custom rule 을 만들수 있을까만 익히게 되면 이를 활용하여 아주 다양한 목적으로 Workload Manager 를 프로젝트 내에서 활용할 수 있지 않을까 합니다. 그럼 이번 이야기는 여기서 마무리 하도록 하겠으며 다음에 더 좋은 이야기로 돌아오도록 하겠습니다. ;)
Disclaimer: 본 글의 작성자는 Google 소속이지만, 본 글에 작성자 개인적 견해가 반영된 것으로서, 본 글은 Google 을 대변하지 않으며, Google의 공식적 입장이 아님을 밝힙니다.
참고 자료 #1
About Workload Manager Evaluation
https://cloud.google.com/workload-manager/docs/about-evaluations
About custom rules in Workload Manager
https://cloud.google.com/workload-manager/docs/evaluate/custom-rules/about-custom-rules
Evaluate your workloads using custom rules
https://cloud.google.com/workload-manager/docs/evaluate/custom-rules/evaluate-using-custom-rules
Summary of required permissions to create and run an evaluation
https://cloud.google.com/workload-manager/docs/roles#summary_of_required_permissions_to_create_and_run_an_evaluation
Google Rego Rules for Workload Manager: Custom rules
https://github.com/GoogleCloudPlatform/workload-manager
Write custom rules using Rego
https://cloud.google.com/workload-manager/docs/evaluate/custom-rules/rego-custom-rules
Notifications are disabled for the first evaluation in a project
https://cloud.google.com/workload-manager/docs/evaluate/troubleshooting#notifications-disabled
[GCP]규칙 기반 평가 서비스 제공을 위한 Workload Manager Evaluation 알아보기 — #1 Workload Manager Evaluation was originally published in google-cloud-apac on Medium, where people are continuing the conversation by highlighting and responding to this story.

[GCP]규칙 기반 평가 서비스 제공을 위한 Workload Manager Evaluation 알아보기 — #1 Workload Manager Evaluation

댓글