พื้นฐานความปลอดภัย Kubernetes

คูเบอร์เนทีสคือระบบที่ใช้เรียกใช้และจัดการคอนเทนเนอร์จำนวนมากบนเครื่องหลายเครื่อง

ระบบจะจัดกลุ่มคอนเทนเนอร์เป็นพ็อดและจัดตารางให้ทำงานบนโหนดโดยอัตโนมัติ

คลัสเตอร์คูเบอร์เนทีสมักใช้เรียกใช้แอปที่สำคัญที่สุดขององค์กร

ส่วนประกอบที่เคลื่อนไหวอยู่มากมาย ทั้งระนาบควบคุม โหนด และเครือข่าย ทำให้ผู้โจมตีมีพื้นที่ขนาดใหญ่สำหรับตรวจสอบหาช่องโหว่

เซิร์ฟเวอร์เอพีไอคือสมองของคลัสเตอร์ ทุกการดำเนินการต้องผ่านเซิร์ฟเวอร์นี้

จะต้องไม่เปิดเผยเซิร์ฟเวอร์นี้ต่ออินเทอร์เน็ตสาธารณะโดยไม่มีการยืนยันตัวตนที่รัดกุม มิฉะนั้นผู้โจมตีอาจควบคุมทุกอย่างได้

RBACหมายถึงการควบคุมการเข้าถึงตามบทบาท โดยจะกำหนดว่าใครสามารถทำอะไรในคลัสเตอร์ได้บ้าง

มอบสิทธิ์ให้ผู้ใช้และบริการแต่ละรายการเฉพาะที่จำเป็น โดยปฏิบัติตามหลักสิทธิ์เท่าที่จำเป็น

พ็อดจะสื่อสารกับเอพีไอโดยใช้บัญชีบริการ

ตามค่าเริ่มต้น บัญชีนี้อาจมีสิทธิ์มากเกินไป ให้ปิดใช้โทเค็นเมื่อพ็อดไม่จำเป็นต้องใช้:

เนมสเปซจะแบ่งคลัสเตอร์ออกเป็นพื้นที่แยกจากกัน

การวางทีมหรือสภาพแวดล้อมไว้ในเนมสเปซที่แตกต่างกันจะจำกัดขอบเขตความเสียหาย และทำให้จัดการกฎการเข้าถึงได้ง่ายขึ้น

ตามค่าเริ่มต้น พ็อดทั้งหมดสามารถสื่อสารกันได้อย่างอิสระ

นโยบายเครือข่ายจะจำกัดการรับส่งข้อมูลดังกล่าว เพื่อไม่ให้พ็อดที่ถูกเจาะเข้าถึงทุกสิ่งได้ อนุญาตเฉพาะการเชื่อมต่อที่จำเป็นจริงเท่านั้น

ข้อมูลลับของคูเบอร์เนทีสใช้เก็บข้อมูลสำคัญ เช่น รหัสผ่านและโทเค็น

เปิดใช้การเข้ารหัสขณะจัดเก็บ และอย่าฝังข้อมูลลับไว้ในคำจำกัดความของพ็อดหรืออิมเมจโดยตรง

พ็อดควรใช้การเสริมความปลอดภัยเช่นเดียวกับคอนเทนเนอร์ทั่วไป:

• ทำงานในฐานะผู้ใช้ที่ไม่ใช่รูท
• ตัดความสามารถพิเศษที่ไม่จำเป็น
• หลีกเลี่ยงโหมดที่มีสิทธิ์พิเศษ

มาตรฐานความปลอดภัยของพ็อดช่วยบังคับใช้กฎเหล่านี้ทั่วทั้งคลัสเตอร์

เซิร์ฟเวอร์เอพีไอสามารถบันทึกทุกคำขอเป็นบันทึกการตรวจสอบได้

บันทึกเหล่านี้แสดงว่าใครทำอะไรและเมื่อใด ซึ่งจำเป็นอย่างยิ่งต่อการตรวจจับและสืบสวนกิจกรรมน่าสงสัย

คูเบอร์เนทีสและส่วนประกอบต่าง ๆ ออกการแก้ไขด้านความปลอดภัยเป็นประจำ

การใช้งานเวอร์ชันเก่าทำให้ช่องโหว่ที่ทราบแล้วยังคงเปิดอยู่ ควรติดตั้งการแก้ไขให้ระนาบควบคุม โหนด และส่วนเสริมตามกำหนดเวลา

RBAC ควบคุมอะไรในคลัสเตอร์คูเบอร์เนทีส

การรักษาความปลอดภัยคูเบอร์เนทีสหมายถึงการปกป้องเซิร์ฟเวอร์เอพีไอ การใช้ RBAC และสิทธิ์เท่าที่จำเป็น การแยกส่วนด้วยเนมสเปซและนโยบายเครือข่าย การจัดการข้อมูลลับอย่างปลอดภัย การเสริมความปลอดภัยให้พ็อด การเปิดใช้บันทึกการตรวจสอบ และการติดตั้งการแก้ไขอยู่เสมอ