从4个方面增强Kubernetes环境的安全性

安全必须是任何DevOps流程的一等公民。Kubernetes越来越受欢迎,他的安全性也越来越被组织重视。

Kubernetes中的安全性是一种实践,而不仅仅是一项功能。安全是一个多维问题,必须从不同的角度来解决。

Kubernetes的安全性可以定义为以下四个方面:

  1. Infrastructure(基础设施)
  2. Kubernetes自身
  3. Containers(容器)
  4. Applications(应用)

 Kubernetes安全的4个方面

基础设施的安全性

基础设施的安全性通常是最基本的任务,也是最重要的任务。但是,在开发过程中经常会忽略它。组织在构建应用程序时,请务必牢记基础架构的安全性,因为它会影响应用程序的架构方式。

基础设施安全涉及多个方面:

1.网络

Kubernetes部署的主要是微服务,同时微服务内部和不同微服务之间都需要通信。因此,组织需要考虑网络设计的各个方面,以确保网络的安全。

  • 流量隔离: Kubernetes控制平面流量必须与数据平面流量隔离。这不仅出于安全原因,而且还避免数据流量影响Kubernetes控制平面流量。
  • 隔离存储流量:类似地,需要将存储流量与常规数据流量隔离开来,以使基础架构中的存储服务不会消耗或中断应用程序网络,反之亦然。
  • 网络细分: Kubernetes对用户隐藏了基础架构,开发人员在设计网络时应牢记这一事实。底层网络基础架构,应该必须同时支持基于第2层VLAN的分段和基于第3层VXLAN的分段,以隔离不彤租户或应用程序之间的流量。
  • 服务质量:在共享的网络基础架构中, noisy neighbors 是一个大问题。因此,能够保证指定Pod或租户的服务水平,同时确保一个Pod的流量不会影响其他Pod,这样的网络基础架构很重要。诸如SR-IOV之类的网络虚拟化技术,可以帮助在共享基础架构上提供虚拟化隔离。
  • 网络策略,防火墙和ACL: 我们将在下文更详细地讨论这些,包括应用程序级别的网络访问控制。

2.存储

对于任何组织来说,存储都是安全性里的关键部分。黑客通常会攻击应用程序存储库中保存的机密数据,例如信用卡信息或个人身份信息。使用Kubernetes的开发人员,应该从以下几个方面确保存储的安全性。

  • 自加密驱动器( Self Encrypting Drives ): 存储安全的一种保障是自加密驱动器。使用这些自加密驱动器,加密就转移到磁盘本身上,数据在写入磁盘时就能得到加密。这样可以确保即使有人物理访问磁盘驱动器,他们也将无法访问数据。
  • 存储卷加密:Kubernetes CSI管理存储卷的生命周期,这样可以将用户与基础存储架构隔离开。同时,存储卷加密可以保护各个存储卷,以防止不安全的访问。
  • 服务质量:在共享的存储基础架构中,大量I/O应用程序可能会影响其他应用程序的性能。因此,能够保证指定Pod或租户的服务水平,同时确保一个Pod的流量不会影响其他Pod,这样的存储基础架构很重要。同样,SR-IOV有助于在PCI级别提供存储隔离。

3.主机和操作系统

组织应该通过以下方式来保护主机和操作系统的安全:

  • 操作系统:站点可靠性工程师( Site Reliability Engineers,SREs)应遵循安全准则来保护主机操作系统。SRE还应该使用防火墙,端口阻止等安全措施。系统常规安全更新和修补程序在可用后,必须立即应用,这样就可以防止黑客和入侵者利用已知漏洞。
  • 启用内核安全性: SELinux和AppArmor之类的内核安全性模块,定义了系统上的应用程序,进程和文件的访问控制。
  • 审核和日志记录:使用Kubernetes的组织应该要有审核和日志记录,这样不仅可以帮助监视系统,还有助于分析安全漏洞。
  • 凭证轮换:用户凭证必须经常更换,并且要遵循严格的安全准则,以免被破解或被盗。
  • 锁定节点:在Kubernetes集群中配置节点后,除了补丁和升级外,无需安装或配置任何新内容。因此,所有节点都必须锁定,并且只能由超级管理员访问,以此来增强安全性。
  • CIS一致性: 网络安全中心( Center for Internet Security,CIS )提供了一致性测试。组织需要查看你的主机设置,并通过一致性测试以确保安全。

4.主机访问管理

Kubernetes集群最薄弱的是节点本身。由于Kubernetes将用户与基础节点隔离开来,因此节点访问控制非常重要。

  • 严格访问:组织应将对节点的root/admin访问权限,限制为几个受信任用户。
  • 锁定节点:即使对于非root用户,应将其限制为通过Kubernetes API服务器进行访问。为了避免对节点上的Kubernetes服务造成任何威胁,应锁定所有节点。
  • 隔离Kubernetes节点: Kubernetes节点必须位于隔离的网络上,并且绝对不能直接暴露给公共网络。。否则对数据平面的开放访问意味着对控制平面的开放访问。理想情况下,应该将节点配置为仅接受来自主节点指定端口的连接。
  • 主节点:主节点访问必须要有网络访问控制列表。

Kubernetes的安全性

在确保基础架构安全的情况下,增强安全的下一步就是Kubernetes自身。

1.etcd

etcd是高可用的键值存储,用作存储Kubernetes集群的所有状态,密钥和信息,这就意味着确保etcd安全非常重要。

  • etcd中的节点应该被授予最小的访问权限。
  • 应该加密包含etcd数据的驱动器。
  • 对etcd的访问必须仅限于主节点。
  • etcd的通信应该要有TLS。

2.Kubernetes集群的访问

Kubernetes访问控制可以细分为以下方面。

  • 身份验证:用户必须先经过身份验证,然后才能访问Kubernetes API。Kubernetes提供了各种身份验证模块-包括客户端证书,密码,普通令牌,引导令牌和JWT令牌。这就要求组织与LDAP,Active Directory或其他身份验证解决方案集成非常重要。

Kubernetes中基于角色的访问控制

  • 授权:验证用户身份(即允许其连接到Kubernetes集群)后,下一步是授权,以确定对所请求资源的访问权限。Kubernetes支持多种授权模块,例如基于属性的访问控制(ABAC),基于角色的访问控制(RBAC)和Webhooks。RBAC是最受欢迎的授权插件之一,因为它允许在多租户环境中对单个Kubernetes资源进行精细控制。
  • 准入控制:准入控制,是在用户经过身份验证并被授权访问所请求的资源之后,拦截和控制Kubernetes请求。准入控制的最佳示例是资源配额。
  • TLS:还必须通过TLS保护对Kubernetes API服务器的访问。

3.安全策略

Kubernetes提供了一些可自定义的安全策略,但默认情况下未启用。

  • Pod安全策略:是一个准入控制插件,确保遵循一定的安全准则时pod才能被调度成功。可以定义的策略包括:限制特权Pod的创建,阻止容器作为root用户运行或限制对某些名称空间,网络或存储卷的使用。
  • 网络策略:由容器网络接口(CNI)插件实现,该插件控制pod如何通信。设置pod网络策略非常重要,因为默认情况下pod网络是非隔离的,它们接受来自任何地方的流量。
  • 质量保证:Kubernetes为计算资源(CPU和内存)提供服务质量(QoS)保证,以避免资源匮乏的问题,但它不为I/O(存储和网络)提供QoS。Diamanti等超融合平台增加了对I/O 和QoS的服务质量支持。

4.工作负载隔离

在多租户环境中,每个租户必须要有单独的名称空间,以使工作负载和数据彼此隔离。CNI,CSI和身份验证插件需要支持这些隔离。

容器的安全性

容器在开发过程中和运行时都需要加以保护。

1.容器镜像安全

所有正在运行的容器均基于镜像文件,该镜像文件可以从诸如Docker Hub之类的仓库中下载。

  • 镜像漏洞扫描:必须使用Aqua,Twistlock,Sysdig和Clair等工具对正在构建的容器镜像进行扫描以查找已知漏洞。这些工具可以解析镜像中的程序包和依赖项,来查找已知的漏洞。
  • 镜像签名:组织还应执行严格的准入控制策略,仅允许通过组织签名的镜像。TUF和Notary是用于容器镜像签名的有用工具。
  • 限制特权容器:此外,组织应避免在容器镜像中使用root用户,并防止特权升级。

2.容器运行时(Container Runtime)

今天,大多数环境都使用Docker,而新的运行时(如CRI-O)具有内置的安全功能。

3.运行中的容器

Twistlock,Aqua和Sysdig等许多工具,通过监视网络和系统调用,为运行中的容器,提供连续监视和威胁预防。这些工具还具有拦截和阻止非法调用,确保安全的能力。

应用程序的安全性

应用程序的安全性也很重要。

1.应用程序访问

  • Kubernetes Ingress 的TLS:将你的应用程序暴露给集群外部,最常见做法是使用入口控制器( ingress controller ),例如Envoy或NGINX。所有对入口控制器的外部访问都必须通过TLS,并且入口控制器( ingress controller )与应用程序容器之间的通信也应使用TLS。
  • 加密传输中的所有内容:除少数情况外,默认应加密传输中的所有内容。Istio和Linkerd等许多服务网格提供了mTLS选项,以自动加密Kubernetes集群中的流量。

2.通信

  • 网络: Istio,Linkerd和Consul等服务网格提供了7层网络功能,从而可以限制和控制多个租户之间的流量。
  • 端口:仅在应用程序/容器上公开必要的端口,这一点很重要。

3.应用强化

CI/CD管道中应内置许多DevOp实践,以确保应用程序安全:

  • 定期分析源代码,以避免漏洞和威胁。有许多可用的工具,例如Veracode和Synopsys。
  • 定期扫描代码依赖项以查找新漏洞,以确保它们不会威胁到应用程序的安全。
  • 持续测试你的应用程序,是否受到常见攻击,例如SQL注入,DDoS攻击等。

综上所述

安全始终是组织的头等大事。

在容器和Kubernetes的新时代,拥有强大的安全非常重要。因此,从一开始就应该将安全性纳入开发周期。

译文链接: https://thenewstack.io/a-security-checklist-for-cloud-native-kubernetes-environments/

K8S中文社区微信公众号

评论 抢沙发

登录后评论

立即登录