Kubernetes Güvenliği Temelleri

Kubernetes, birçok makinedeki çok sayıda konteyneri çalıştıran ve yöneten bir sistemdir.

Konteynerleri pod'larda gruplar ve bunları otomatik olarak düğümlere yerleştirir.

Bir Kubernetes kümesi çoğu zaman bir kuruluşun en önemli uygulamalarını çalıştırır.

Kontrol düzlemi, düğümler ve ağdan oluşan çok sayıdaki hareketli parça, saldırganların inceleyebileceği geniş bir yüzey oluşturur.

API sunucusu, kümenin beynidir. Her işlem onun üzerinden geçer.

Güçlü kimlik doğrulama olmadan hiçbir zaman genel internete açılmamalıdır; aksi takdirde saldırganlar her şeyi kontrol edebilir.

RBAC, Role Dayalı Erişim Denetimi anlamına gelir. Kümede kimin ne yapabileceğine karar verir.

En az ayrıcalık ilkesini izleyerek her kullanıcıya ve hizmete yalnızca ihtiyaç duyduğu izinleri verin.

Pod'lar API ile bir hizmet hesabı kullanarak iletişim kurar.

Varsayılan olarak bu hesap gereğinden fazla yetkili olabilir. Bir pod'un buna ihtiyacı olmadığında belirteci devre dışı bırakın:

Ad alanları, kümeyi ayrı bölgelere ayırır.

Ekipleri veya ortamları farklı ad alanlarına yerleştirmek etki alanını sınırlar ve erişim kurallarını yönetmeyi kolaylaştırır.

Varsayılan olarak tüm pod'lar birbirleriyle serbestçe iletişim kurabilir.

Bir ağ politikası bu trafiği kısıtlar; böylece ele geçirilmiş bir pod her yere ulaşamaz. Yalnızca gerçekten ihtiyaç duyduğunuz bağlantılara izin verin.

Kubernetes Gizli Bilgileri, parolalar ve belirteçler gibi hassas verileri barındırır.

Depolanan veriler için şifrelemeyi etkinleştirin ve gizli bilgileri pod tanımlarına veya imajlara asla doğrudan yazmayın.

Pod'lar, diğer tüm konteynerlerle aynı güçlendirme kurallarını izlemelidir:

• Root olmayan kullanıcı olarak çalıştırın
• Gereksiz yetenekleri kaldırın
• Ayrıcalıklı kipten kaçının

Pod Güvenliği standartları, bu kuralların küme genelinde uygulanmasına yardımcı olur.

API sunucusu her isteği bir denetim günlüğü olarak kaydedebilir.

Bu günlükler, kimin neyi ne zaman yaptığını ortaya çıkarır; bu da şüpheli etkinlikleri fark etmek ve araştırmak için çok önemlidir.

Kubernetes ve bileşenleri düzenli olarak güvenlik düzeltmeleri yayımlar.

Eski bir sürümü çalıştırmak, bilinen açıkları kullanılabilir durumda bırakır. Kontrol düzlemini, düğümleri ve eklentileri belirli bir takvime göre yamalayın.

RBAC, bir Kubernetes kümesinde neyi denetler?

Kubernetes'i güvenli hâle getirmek; API sunucusunu korumayı, RBAC ve en az ayrıcalık ilkesini uygulamayı, ad alanları ve ağ politikalarıyla yalıtmayı, gizli bilgileri güvenli biçimde yönetmeyi, pod'ları güçlendirmeyi, denetim günlüklerini etkinleştirmeyi ve sık sık yama uygulamayı gerektirir.