Les bases de la sécurité Kubernetes

Kubernetes est un système qui exécute et gère de nombreux conteneurs sur plusieurs machines.

Il regroupe les conteneurs en pods et les planifie automatiquement sur des nœuds.

Un cluster Kubernetes exécute souvent les applications les plus importantes d’une organisation.

Ses nombreux composants — le plan de contrôle, les nœuds et le réseau — offrent aux attaquants une vaste surface à sonder.

Le serveur d’API est le cerveau du cluster. Chaque action passe par lui.

Il ne doit jamais être exposé à l’Internet public sans une authentification forte, car les attaquants pourraient alors tout contrôler.

RBAC signifie contrôle d’accès fondé sur les rôles. Il détermine qui peut faire quoi dans le cluster.

Accordez à chaque utilisateur et à chaque service uniquement les autorisations nécessaires, conformément au principe du moindre privilège.

Les pods communiquent avec l’API à l’aide d’un compte de service.

Par défaut, ce compte peut disposer d’autorisations excessives. Désactivez le jeton lorsqu’un pod n’en a pas besoin :

Les espaces de noms divisent un cluster en zones distinctes.

Le fait de placer les équipes ou les environnements dans des espaces de noms différents limite l’ampleur d’une compromission et facilite la gestion des règles d’accès.

Par défaut, tous les pods peuvent communiquer librement entre eux.

Une politique réseau restreint ce trafic, afin qu’un pod compromis ne puisse pas atteindre toutes les ressources. N’autorisez que les connexions dont vous avez réellement besoin.

Les secrets Kubernetes contiennent des données sensibles, comme des mots de passe et des jetons.

Activez le chiffrement au repos et n’intégrez jamais de secrets en dur dans les définitions de pods ou les images.

Les pods doivent respecter les mêmes mesures de renforcement que n’importe quel conteneur :

• S’exécuter sans privilèges élevés
• Supprimer les capacités inutiles
• Éviter le mode privilégié

Les normes de sécurité des pods contribuent à appliquer ces règles à l’échelle du cluster.

Le serveur d’API peut enregistrer chaque requête dans un journal d’audit.

Ces journaux indiquent qui a fait quoi et à quel moment, ce qui est essentiel pour repérer et examiner les activités suspectes.

Kubernetes et ses composants publient régulièrement des correctifs de sécurité.

L’utilisation d’une ancienne version laisse des failles connues ouvertes. Appliquez régulièrement les correctifs au plan de contrôle, aux nœuds et aux modules complémentaires.

Que contrôle RBAC dans un cluster Kubernetes ?

Sécuriser Kubernetes signifie protéger le serveur d’API, appliquer RBAC et le principe du moindre privilège, isoler les ressources avec des espaces de noms et des politiques réseau, gérer les secrets en toute sécurité, renforcer la sécurité des pods, activer les journaux d’audit et appliquer fréquemment les correctifs.