Noções básicas de segurança do Kubernetes

O Kubernetes é um sistema que executa e gerencia muitos contêineres em várias máquinas.

Ele agrupa contêineres em pods e os agenda automaticamente nos nós.

Um agrupamento do Kubernetes geralmente executa os aplicativos mais importantes de uma organização.

Suas muitas partes móveis — o plano de controle, os nós e a rede — oferecem aos atacantes uma grande superfície para sondar.

O servidor da API é o cérebro do agrupamento. Cada ação passa por ele.

Ele nunca deve ser exposto à internet pública sem autenticação forte; caso contrário, os atacantes poderão controlar tudo.

RBAC significa Controle de Acesso Baseado em Funções. Ele decide quem pode fazer o quê no agrupamento.

Conceda a cada usuário e serviço apenas as permissões necessárias, seguindo o princípio do privilégio mínimo.

Os pods se comunicam com a API usando uma conta de serviço.

Por padrão, ela pode ser permissiva demais. Desative o token quando um pod não precisar dele:

Os espaços de nomes dividem um agrupamento em áreas separadas.

Colocar equipes ou ambientes em espaços de nomes diferentes limita o raio de impacto e facilita o gerenciamento das regras de acesso.

Por padrão, todos os pods podem se comunicar livremente.

Uma política de rede restringe esse tráfego, para que um pod comprometido não consiga alcançar tudo. Permita apenas as conexões de que realmente precisa.

Os segredos do Kubernetes armazenam dados confidenciais, como senhas e tokens.

Ative a criptografia em repouso e nunca codifique segredos diretamente nas definições de pods ou nas imagens.

Os pods devem seguir o mesmo reforço de segurança aplicado a qualquer contêiner:

• Execute como usuário não privilegiado
• Remova capacidades desnecessárias
• Evite o modo privilegiado

Os padrões de segurança de pods ajudam a aplicar essas regras em todo o agrupamento.

O servidor da API pode registrar cada solicitação em um registro de auditoria.

Esses registros revelam quem fez o quê e quando, o que é essencial para identificar e investigar atividades suspeitas.

O Kubernetes e seus componentes lançam correções de segurança regularmente.

Executar uma versão antiga deixa vulnerabilidades conhecidas abertas. Aplique correções no plano de controle, nos nós e nos complementos de acordo com um cronograma.

O que o RBAC controla em um agrupamento do Kubernetes?

Proteger o Kubernetes significa proteger o servidor da API, aplicar RBAC e o princípio do privilégio mínimo, isolar com espaços de nomes e políticas de rede, gerenciar segredos com segurança, reforçar a segurança dos pods, ativar registros de auditoria e aplicar correções com frequência.