Kubernetes-Sicherheitsgrundlagen

Kubernetes führt viele Container auf vielen Rechnern aus und verwaltet sie.

Es gruppiert Container in Pods und plant sie automatisch auf Nodes ein.

In einem Kubernetes-Cluster laufen häufig die wichtigsten Anwendungen einer Organisation.

Seine vielen Bestandteile – Control Plane, Nodes und Netzwerk – bieten Angreifern eine große Angriffsfläche zur Untersuchung.

Der API-Server ist das Gehirn des Clusters. Jede Aktion läuft über ihn.

Er darf niemals ohne starke Authentifizierung dem öffentlichen Internet ausgesetzt werden, da Angreifer sonst alles kontrollieren können.

RBAC steht für Role-Based Access Control. Damit wird festgelegt, wer was im Cluster tun darf.

Geben Sie jedem Benutzer und jedem Dienst nur die benötigten Berechtigungen – gemäß dem Prinzip der geringsten Berechtigungen.

Pods kommunizieren über einen Service Account mit der API.

Standardmäßig kann dieser zu weitreichende Berechtigungen haben. Deaktivieren Sie das Token, wenn ein Pod es nicht benötigt:

Namespaces teilen einen Cluster in getrennte Bereiche auf.

Wenn Sie Teams oder Umgebungen in unterschiedlichen Namespaces unterbringen, begrenzen Sie den Schadensbereich und können Zugriffsregeln leichter verwalten.

Standardmäßig können alle Pods ungehindert miteinander kommunizieren.

Eine Netzwerkrichtlinie schränkt diesen Datenverkehr ein, sodass ein kompromittierter Pod nicht alles erreichen kann. Erlauben Sie nur die Verbindungen, die Sie wirklich benötigen.

Kubernetes-Secrets enthalten sensible Daten wie Passwörter und Tokens.

Aktivieren Sie die Verschlüsselung ruhender Daten und hinterlegen Sie Secrets niemals fest in Pod-Definitionen oder Images.

Pods sollten genauso abgesichert werden wie alle anderen Container:

• Als Nicht-Root ausführen
• Nicht benötigte Capabilities entfernen
• Den privilegierten Modus vermeiden

Pod-Security-Standards helfen dabei, diese Regeln im gesamten Cluster durchzusetzen.

Der API-Server kann jede Anfrage als Audit-Log aufzeichnen.

Diese Logs zeigen, wer wann was getan hat, und sind daher unverzichtbar, um verdächtige Aktivitäten zu erkennen und zu untersuchen.

Kubernetes und seine Komponenten veröffentlichen regelmäßig Sicherheitsupdates.

Wenn Sie eine alte Version ausführen, bleiben bekannte Sicherheitslücken offen. Patchen Sie die Control Plane, Nodes und Add-ons nach einem festen Zeitplan.

Was steuert RBAC in einem Kubernetes-Cluster?

Die Absicherung von Kubernetes umfasst den Schutz des API-Servers, die Anwendung von RBAC und des Prinzips der geringsten Berechtigungen, die Isolation durch Namespaces und Netzwerkrichtlinien, die sichere Verwaltung von Secrets, die Absicherung von Pods, die Aktivierung von Audit-Logs und regelmäßiges Patchen.