Grundlæggende Kubernetes-sikkerhed

API-serveren er klyngens hjerne. Alle handlinger går gennem den.

Den må aldrig eksponeres for det offentlige internet uden stærk autentifikation, for så kan angribere få kontrol over alt.

RBAC betyder rollebaseret adgangskontrol. Det afgør, hvem der må gøre hvad i klyngen.

Giv hver bruger og tjeneste kun de rettigheder, de har brug for, efter princippet om mindst mulige rettigheder.

Pods kommunikerer med API'et ved hjælp af en tjenestekonto.

Som standard kan den have for mange rettigheder. Deaktivér tokenet, når en pod ikke har brug for det:

Navnerum opdeler en klynge i separate områder.

Hvis du placerer teams eller miljøer i forskellige navnerum, begrænser du skadeomfanget og gør adgangsreglerne lettere at administrere.

Som standard kan alle pods frit kommunikere med hinanden.

En netværkspolitik begrænser denne trafik, så en kompromitteret pod ikke kan få adgang til alt. Tillad kun de forbindelser, du virkelig har brug for.

Kubernetes-hemmeligheder indeholder følsomme data som adgangskoder og tokens.

Aktivér kryptering af data i hvile, og indkod aldrig hemmeligheder direkte i pod-definitioner eller containerafbildninger.

Pods bør følge den samme hærdning som alle andre containere:

• Kør som ikke-root
• Fjern unødvendige capabilities
• Undgå privilegeret tilstand

Standarder for podsikkerhed hjælper med at håndhæve disse regler i hele klyngen.

API-serveren kan registrere hver anmodning i en revisionslog.

Disse logge viser, hvem der gjorde hvad og hvornår, hvilket er afgørende for at opdage og undersøge mistænkelig aktivitet.

Kubernetes og dets komponenter udgiver regelmæssigt sikkerhedsrettelser.

Hvis du kører en gammel version, står kendte sikkerhedshuller åbne. Installér rettelser til kontrolplanet, noderne og tilføjelserne efter en fast plan.

Sikring af Kubernetes betyder, at du beskytter API-serveren, anvender RBAC og mindst mulige rettigheder, isolerer med navnerum og netværkspolitikker, håndterer hemmeligheder sikkert, hærder pods, aktiverer revisionslogge og installerer rettelser ofte.