使用Kubernetes的挑战和应对技巧

从2000年FREEBSD( 一种可免费使用的UNIX操作系统 ) 亮相,容器技术不断发展,到如今,容器已牢牢占据着现代软件交付的中心地位Kubernetes是当今容器编排的事实上的标准,并且是容器化领域中最好的。正如预测的那样,到2023年,全球70%以上的企业将运行两个或多个容器化应用程序。

但是,Kubernetes目前仍然很复杂。即使Kubernetes在测试环境中运行平稳,在生产环境中也需要谨慎地运行它,以避免出现陷阱。

如果考虑在你的环境中使用Kubernetes,请注意以下几个方面:

Kubernetes挑战

掌握复杂性

部署完整的K8S基础架构时,需要配置的组件数量众多,使得部署过程变得复杂艰巨:

  1. DNS设置:需要考虑和某些Linux发行版是否发生冲突,还有DNS搜索限制等。
  2. 负载均衡:需要考虑许多因素,例如在托管的K8S或外部负载均衡器之间进行选择。
  3. 资源约束:可以在容器,节点甚至命名空间级别定义资源约束,每种约束都有其优缺点。
  4. 基于角色的访问控制(RBAC):跨多个Pod,节点和名称空间的“角色”和“集群角色”需要进行认真规划和实施。
  5. 监测指标:尽管K8S提供了有关容器,pod,服务和集群级别的应用程序资源使用的详细信息,但是应用程序监视分散在多个应用程序和工具中,汇总起来比较麻烦。

加强安全性

在K8S环境中实施安全性,需要考虑到由于部署微服务而导致软件的攻击面增加。K8S虽然易于部署,但无法严格管理和控制它们会产生新的漏洞。需要考虑的一些要素是:

  1. 镜像的安全
  2. 节点访问控制
  3. 网络隔离
  4. API管理
  5. 统一身份认证服务

集成以上这些元素所涉及的复杂性也常常被低估,并导致许多安全漏洞。根据2020年有关“Kubernetes安全状态”的研究“ ,94%的受访者在过去12个月内在其Kubernetes和容器环境中经历了安全事件。

  1. K8S漏洞–在容器化环境中,攻击者可以使用“特权容器( privileged containers )”来获得特权。特权容器是指具有主机所有功能的容器。因此,获得对此类容器的访问权限可以授予攻击者权限,并可以访问所有主机资源。
  2. 扩展实例– K8S的生产环境中经常需要快速扩展数百个Pod,如果无效的监视和日志记录可能会导致无法诊断故障。
  3. 自动伸缩–配置垂直,水平或组合的自动伸缩过程需要对所需资源范围(节点的最小和最大CPU和内存)进行深入评估。
  4. 更新:当社区发布K8S的新版本时,如果需要升级生产集群,最好不要导致应用程序宕机。
  5. 资源管理–没有设置资源限制,会带来宕机的风险。
  6. 监视–有效监视系统运行信息,对于故障诊断至关重要。

Kubernetes 最佳实践

但是,我们可以采用一些最佳实践,来在生产环境中安全地操作K8S:

  1. 使用非Root权限运行容器:如果容器发生破坏,Root权限的容器会扩大风险。
  2. 实施RBAC:正确配置RBAC策略,以确保它们至少满足K8S的最低要求,并且最好根据特定的角色访问资源,以最大程度地提高安全性。
  3. 实施全面的测试:在部署生产环境之前,必须系统地运行包括功能测试,用户测试和负载测试在内的全面测试。
  4. 滚动升级避免使用latest 标签
  5. 配置CI/CD-流水线:正确配置CI/CD流水线对于提高软件质量和安全性,以及加快发布速度至关重要。自动化的集成和部署工具可以帮助实现这一点。
  6. 镜像仓库和部署管理:确保将Docker镜像安全地存储在镜像仓库中,可以启用镜像管理工作流。适当的管理,可确保镜像签名,安全性,LDAP集成等方面的一致性。使用部署管理器(例如Helm)可以简化基于K8S的应用程序定义,安装和升级阶段的管理。
  7. 使用Pod安全策略(PSP):Pod Security Policies(PSP)是集群级的Pod安全策略,自动为集群内的Pod和Volume设置Security Context。。
  8. 镜像扫描:尤其是在使用外部镜像之前,首先需要对其进行扫描可降低引入漏洞的风险。另外,Kubei是一个不错的新工具,它“仅扫描在运行时部署的镜像,它取代了扫描整个镜像仓库。”
  9. 使用Service Mesh(服务网格):服务网格有助于确保服务交互经过授权,认证,从而确保通信安全。
  10. 使用指标,CPU状态和仪表板来衡量运行状况:无效的监视和日志记录可能导致无法诊断软件故障。

译文链接: https://dzone.com/articles/the-challenges-of-adopting-k8s-for-production-and

K8S中文社区微信公众号

评论 抢沙发

登录后评论

立即登录