أساسيات أمان Kubernetes

إن Kubernetes نظام يشغّل العديد من الحاويات ويديرها عبر العديد من الأجهزة.

يجمع الحاويات في pods ويجدول تشغيلها على العُقد تلقائيًا.

غالبًا ما يشغّل عنقود Kubernetes أهم تطبيقات المؤسسة.

وتمنح مكوّناته العديدة، مثل مستوى التحكم والعُقد والشبكة، المهاجمين سطحًا واسعًا لاستكشافه.

يُعد خادم API عقل العنقود، إذ تمر كل الإجراءات عبره.

يجب ألا يكون مكشوفًا على الإنترنت العام من دون مصادقة قوية، وإلا تمكن المهاجمون من التحكم في كل شيء.

تعني RBAC التحكم في الوصول المستند إلى الأدوار. وهي تحدد من يمكنه تنفيذ كل إجراء في العنقود.

امنح كل مستخدم وخدمة الأذونات التي يحتاجان إليها فقط، التزامًا بمبدأ أقل قدر من الامتيازات.

تتواصل pods مع API باستخدام حساب خدمة.

وقد يكون هذا الحساب مفرط الصلاحيات افتراضيًا. عطّل الرمز المميز عندما لا تحتاج pod إليه:

تقسم مساحات الأسماء العنقود إلى مناطق منفصلة.

يحد وضع الفرق أو البيئات في مساحات أسماء مختلفة من نطاق الضرر، ويجعل إدارة قواعد الوصول أسهل.

يمكن لجميع pods افتراضيًا التواصل مع بعضها بحرية.

تقيّد سياسة الشبكة هذا النوع من الحركة، بحيث لا تتمكن pod مخترقة من الوصول إلى كل شيء. اسمح بالاتصالات التي تحتاج إليها فعلًا فقط.

تحتوي Secrets في Kubernetes على بيانات حساسة مثل كلمات المرور والرموز المميزة.

فعّل التشفير أثناء التخزين، ولا تضع الأسرار مطلقًا بشكل ثابت في تعريفات pods أو الصور.

ينبغي أن تتبع pods إجراءات التقوية نفسها المتبعة مع أي حاوية:

• التشغيل دون المستخدم الجذر
• إسقاط الإمكانات غير اللازمة
• تجنب الوضع ذي الامتيازات

تساعد معايير أمن pods على فرض هذه القواعد على مستوى العنقود بأكمله.

يمكن لخادم API تسجيل كل طلب في سجل تدقيق.

تكشف هذه السجلات من فعل ماذا ومتى، وهو أمر أساسي لاكتشاف الأنشطة المشبوهة والتحقيق فيها.

يصدر Kubernetes ومكوّناته إصلاحات أمنية بانتظام.

يؤدي تشغيل إصدار قديم إلى إبقاء الثغرات المعروفة مفتوحة. حدّث مستوى التحكم والعُقد والإضافات وفق جدول منتظم.

ما الذي يتحكم فيه RBAC في عنقود Kubernetes؟

يتطلب تأمين Kubernetes حماية خادم API، وتطبيق RBAC ومبدأ أقل قدر من الامتيازات، والعزل باستخدام مساحات الأسماء وسياسات الشبكة، وإدارة الأسرار بأمان، وتقوية pods، وتمكين سجلات التدقيق، وتثبيت التصحيحات باستمرار.