Основы безопасности Kubernetes

Kubernetes — это система, которая запускает и управляет множеством контейнеров на множестве машин.

Она объединяет контейнеры в поды и автоматически размещает их на узлах.

В кластере Kubernetes часто работают самые важные приложения организации.

Многочисленные компоненты — плоскость управления, узлы и сеть — предоставляют злоумышленникам большую поверхность для поиска уязвимостей.

Сервер API — это мозг кластера. Через него проходит каждое действие.

Его нельзя открывать для общедоступного интернета без надёжной аутентификации, иначе злоумышленники смогут управлять всем.

RBAC означает управление доступом на основе ролей. Он определяет, кто и что может делать в кластере.

Предоставляйте каждому пользователю и сервису только необходимые разрешения, следуя принципу минимальных привилегий.

Поды обращаются к API через сервисную учётную запись.

По умолчанию права этой учётной записи могут быть чрезмерными. Отключите токен, если поду он не нужен:

Пространства имён разделяют кластер на отдельные области.

Размещение команд или сред в разных пространствах имён ограничивает масштаб ущерба и упрощает управление правилами доступа.

По умолчанию все поды могут свободно взаимодействовать друг с другом.

Сетевая политика ограничивает этот трафик, поэтому скомпрометированный под не сможет связаться со всеми ресурсами. Разрешайте только действительно необходимые соединения.

Секреты Kubernetes хранят конфиденциальные данные, такие как пароли и токены.

Включите шифрование данных при хранении и никогда не прописывайте секреты напрямую в описаниях подов или образах.

Для подов следует применять те же меры усиления защиты, что и для любых контейнеров:

• Запускайте от имени пользователя без прав суперпользователя
• Удаляйте ненужные возможности
• Избегайте привилегированного режима

Стандарты безопасности подов помогают применять эти правила во всём кластере.

Сервер API может записывать каждый запрос в виде журнала аудита.

Эти журналы показывают, кто, что и когда сделал, что необходимо для выявления и расследования подозрительной активности.

Kubernetes и его компоненты регулярно выпускают исправления безопасности.

Использование старой версии оставляет известные уязвимости неисправленными. Устанавливайте исправления для плоскости управления, узлов и дополнительных компонентов по графику.

Что контролирует RBAC в кластере Kubernetes?

Защита Kubernetes означает защиту сервера API, применение RBAC и принципа минимальных привилегий, изоляцию с помощью пространств имён и сетевых политик, безопасное управление секретами, усиление защиты подов, включение журналов аудита и частую установку исправлений.