Podstawy bezpieczeństwa Kubernetes

Kubernetes to system, który uruchamia i zarządza wieloma kontenerami na wielu maszynach.

Grupuje kontenery w pody i automatycznie planuje ich uruchomienie na węzłach.

Klaster Kubernetes często uruchamia najważniejsze aplikacje organizacji.

Jego liczne elementy — płaszczyzna sterowania, węzły i sieć — zapewniają atakującym dużą powierzchnię do badania.

Serwer API jest mózgiem klastra. Każde działanie przechodzi przez niego.

Nie wolno wystawiać go do publicznego internetu bez silnego uwierzytelniania, ponieważ atakujący mogą przejąć pełną kontrolę.

RBAC oznacza kontrolę dostępu opartą na rolach. Określa, kto może wykonywać poszczególne działania w klastrze.

Należy przyznać każdemu użytkownikowi i każdej usłudze tylko uprawnienia, których potrzebują, zgodnie z zasadą najmniejszych uprawnień.

Pody komunikują się z API za pomocą konta usługi.

Domyślnie konto to może mieć zbyt szerokie uprawnienia. Gdy pod nie potrzebuje tokenu, należy go wyłączyć:

Przestrzenie nazw dzielą klaster na oddzielne obszary.

Umieszczenie zespołów lub środowisk w różnych przestrzeniach nazw ogranicza zasięg skutków incydentu i ułatwia zarządzanie regułami dostępu.

Domyślnie wszystkie pody mogą swobodnie komunikować się ze sobą.

Zasada sieciowa ogranicza ten ruch, dzięki czemu przejęty pod nie może połączyć się ze wszystkim. Należy zezwalać tylko na połączenia, które są naprawdę potrzebne.

Secrets Kubernetes przechowują poufne dane, takie jak hasła i tokeny.

Należy włączyć szyfrowanie danych w spoczynku i nigdy nie umieszczać sekretów na stałe w definicjach podów ani obrazach.

Pody powinny być wzmacniane w taki sam sposób jak każdy kontener:

• Uruchamiać je bez uprawnień root
• Odbierać niepotrzebne capabilities
• Unikać trybu uprzywilejowanego

Standardy Pod Security pomagają egzekwować te zasady w całym klastrze.

Serwer API może rejestrować każde żądanie w postaci dziennika audytowego.

Te dzienniki pokazują, kto, co i kiedy zrobił, co jest niezbędne do wykrywania i badania podejrzanej aktywności.

Kubernetes i jego komponenty regularnie otrzymują poprawki bezpieczeństwa.

Korzystanie ze starej wersji pozostawia znane luki otwarte. Należy regularnie aktualizować płaszczyznę sterowania, węzły i dodatki.

Co kontroluje RBAC w klastrze Kubernetes?

Zabezpieczanie Kubernetes oznacza ochronę serwera API, stosowanie RBAC i zasady najmniejszych uprawnień, izolowanie za pomocą przestrzeni nazw i zasad sieciowych, bezpieczne zarządzanie sekretami, wzmacnianie zabezpieczeń podów, włączanie dzienników audytowych i częste instalowanie poprawek.