Kubernetes部署的五项安全优秀实践

【金融特辑】光大银行科技部DBA女神带你从0到1揭秘MGR

容器的使用在企业环境中持续流行，从而增加了对管理和编排容器的需求。毫无疑问，Kubernetes(K8s)已成为云原生环境的容器编排的市场领导者。

由于Kubernetes在管理容器化工作负载的角色和功能方面起着至关重要的作用，因此安全性应该得到很好的理解和管理。因此，对于所有部署都必须使用正确的部署体系结构和安全最佳实践。

由于Kubernetes部署包含许多不同的组件(包括Kubernetes的主节点和节点，托管Kubernetes的服务器，容器运行时使用Kubernetes，集群内的网络层以及在Kubernetes上托管的容器内运行的应用程序)，因此保护Kubernetes的安全需要DevOps /开发人员来解决与这些组件相关的安全挑战。

在本文中，我将讨论DevOps和管理Kubernetes部署的开发专业人员的五种安全优秀实践。将这些安全措施集成到CI / CD管道中将有助于组织在开发过程的早期发现和修复安全问题，从而在确保安全部署的同时缩短周期并缩短周期。

为了克服这些挑战，以下是应对K8安全挑战的五种优秀安全实践：

1.授权：Kubernetes提供了几种不互斥的授权方法。建议将RBAC用于授权策略，以控制如何使用权限访问Kubernetes API。ABAC是一种附加的授权机制，可提供功能强大且细粒度的策略，但它更复杂且操作约束很少(例如，权限更改后API服务器重新启动)。

2.Pod安全性：由于每个Pod包含一组一个或多个容器，因此控制其部署配置至关重要。Kubernetes Pod安全策略是群集级别的资源，允许用户通过控制其特权，卷访问和传统的Linux安全选项(例如seccomp和SELinux配置文件)来安全地部署其pod。

3.保护生产环境：随着公司将更多部署转移到生产中，这种迁移会增加运行时易受攻击的工作量。通过应用上述解决方案并确保您的组织保持健康的DevOps / DevSecOps文化可以解决此问题。

4.确保Kubernetes上的CI / CD管道安全： 运行CI / CD可以在将工作负载部署到K8集群之前对其进行构建，测试和部署。必须在CI / CD流程中增强安全性，以使开发人员能够快速发现并缓解潜在的漏洞和配置错误。

否则，攻击者可以在部署这些映像时获得访问权限，并利用K8生产环境​​中的这些漏洞。在CI / CD阶段检查映像代码和部署配置可以实现此目的。

5.将服务网格添加到网络安全层： 服务网格以统一且不可知的方式处理与微服务相关的常见任务。服务网格根据策略自动平衡服务间流量。它还提供了许多安全性，可靠性和可观察性优势，可以帮助管理群集流量并通过“零信任”安全模型增强网络稳定性。

服务网格是K8安全基础架构的有力补充。它通过自动处理服务发现和连接来支持安全的云原生环境，因此开发人员和单个微服务都不必这样做。与Kubernetes结合使用时，服务网格可在服务级别(不仅在网络级别)支持应用的安全性。当与基于身份的工作负载保护结合使用以保护容器和微服务时，服务网格可实现最高级别的安全性。