9步操作让你的K8s 更安全

IT咖啡馆
发布于 2022-8-25 10:27
浏览
0收藏

Kubernetes 是一个复杂的平台,需要大量的配置和管理。为了保证 Kubernetes 工作负载的安全,尤其是在生产环境中,您需要通过实施安全最佳实践来解决关键的架构漏洞和平台依赖性。

本文将向您介绍K8s 安全实践的9个关键步骤

1.启用 K8s 的 RBAC

9步操作让你的K8s 更安全-鸿蒙开发者社区
RBAC 可以帮助您定义谁有权访问 Kubernetes API 以及他们拥有哪些权限。RBAC 通常在 Kubernetes 1.6 及更高版本(后来在一些托管的 Kubernetes 提供程序上)默认启用。因为 Kubernetes 结合了授权控制器,所以当您启用 RBAC 时,您还必须禁用旧的基于属性的访问控制 (ABAC)。

使用 RBAC 时,更喜欢特定于命名空间的权限而不是集群范围的权限。即使在调试时,也不要授予集群管理员权限。仅在您的特定情况需要时才允许访问更为安全。

2.使用第三方认证加固API Server

9步操作让你的K8s 更安全-鸿蒙开发者社区
建议将 Kubernetes 与第三方身份验证程序(例如 GitHub)集成。这提供了额外的安全功能,例如多因素身份验证,并确保 kube-apiserver 在添加或删除用户时不会更改。如果可能,请确保不在 API 服务器级别管理用户。您还可以使用 OAuth 2.0等

3. 启用TLS、防火墙等保护 etcd

9步操作让你的K8s 更安全-鸿蒙开发者社区
由于 etcd 存储集群的状态及其机密,因此它是敏感资源,也是攻击者的有吸引力的目标。如果未经授权的用户获得了对 etcd 的访问权限,他们可以接管整个集群。读取权限也很危险,因为恶意用户可以使用它来提升权限。

4. K8s集群网络隔离

9步操作让你的K8s 更安全-鸿蒙开发者社区
为了保证K8s整体的安全,K8s节点必须位于单独的网络上,并且不应直接暴露于公网环境。一般在允许的条件下,我们建议和办公网络也隔离开来。只有保证 Kubernetes 控制操作和数据流量被隔离,才能保证两者不流经同一线路,对数据平面的访问和对控制平面访问才能完全分离。理想情况下,节点应该配置一个入口控制器,设置为只允许通过网络访问控制列表(ACL)从指定端口上的主节点进行连接。

5.监控网络流量

9步操作让你的K8s 更安全-鸿蒙开发者社区
部署在K8s当中的应用通常会使用集群网络。我们应当持续监控网络流量并将其与 Kubernetes 网络策略进行比较,以了解您的应用程序的运行状况并识别异常通信。

同时,如果您将活动流量与允许流量进行比较,就可以识别出对于应用有效的主动流量。依据这些信息可用于进一步加强网络策略,删除不需要的连接以减少攻击面。

6.使用进程白名单

9步操作让你的K8s 更安全-鸿蒙开发者社区
进程白名单是识别意外运行进程的有效方法。首先,在一段时间内观察应用程序,以识别在正常应用程序行为期间运行的所有进程。然后将此列表用作未来应用程序行为的白名单。

当然,进程运行时级别分析是很困难的,以后我们会找机会介绍一些相关的内容。

7.审计日志

9步操作让你的K8s 更安全-鸿蒙开发者社区
确保启用了审计日志,监控那些异常或不需要的 API 调用,尤其是身份验证失败。这些日志条目会显示“禁止”状态消息。这些信息很可能是攻击者正在尝试使用被盗的凭据。

将文件传递给 kube-apiserver 时,您可以使用 –audit-policy-file 标志打开审计日志,并准确定义应记录哪些事件。可以设置日志记录级别包括:None,Metadata,Request,RequestResponse。

8.保持 K8s版本的更新

9步操作让你的K8s 更安全-鸿蒙开发者社区
K8s一直保持着告诉的产品迭代,我们应该保持对K8s更新的关注,尽量更新到最新版本的 K8s。当然升级 K8s可能是一个复杂的过程,如果您使用的是托管 K8s或者K8s发行版,请联系提供商是否处理自动升级。

9. 锁定 Kubelet

9步操作让你的K8s 更安全-鸿蒙开发者社区
kubelet 是在每个节点上运行的代理,它与容器运行时交互以启动 pod 并报告节点和 pod 的指标。集群中的每个 kubelet 都公开了一个 API,您可以使用该 API 来启动和停止 Pod,以及执行其他操作。如果未经授权的用户(在任何节点上)获得了对该 API 的访问权并且可以在集群上运行代码,他们可能会危及整个集群。

分类
2
收藏
回复
举报
回复
    相关推荐