专栏首页CNCF每个人都必须遵循的九项Kubernetes安全最佳实践

每个人都必须遵循的九项Kubernetes安全最佳实践

作者:StackRox产品经理Connor Gilbert

上个月,Kubernetes(世界上最受欢迎的容器编排器)生态系统因发现Kubernetes的第一个主要安全漏洞而动摇。该漏洞(CVE-2018-1002105)使攻击者能够通过Kubernetes API服务器破坏集群,允许他们运行代码来安装恶意软件等恶意活动。

今年早些时候,Tesla遭遇了复杂的加密货币挖掘恶意软件感染,由Kubernetes控制台错误配置引起。攻击者利用了特定Kubernetes控制台没有密码保护的事实,允许他们访问其中一个包含Tesla大型AWS环境访问凭据的pod。

随着组织加速采用容器和容器编排器,他们需要采取必要措施来保护计算基础架构中的这一关键部分。为了帮助完成这项工作,请查看这九项根据客户意见的Kubernetes安全最佳实践,你应遵循以帮助保护你的基础架构。

1. 升级到最新版本

每个季度更新都会添加新的安全功能,而不仅仅是错误修复,为了充分利用它们,我们建议你运行最新的稳定版本。最好的办法是使用最新版本运行最新补丁,特别是考虑到CVE-2018-1002105的发现。越是落后升级和支持可能会越难,所以计划每季度至少升级一次。使用托管的Kubernetes供应商可以非常轻松地进行升级。

2. 启用基于角色的访问控制(RBAC)

基于角色的访问控制(RBAC)控制谁可以访问Kubernetes API以及他们的权限。默认情况下,RBAC通常在Kubernetes 1.6及更高版本中启用(某些托管供应商稍迟),但如果你从那时起进行了升级并且未更改配置,则需要仔细检查你的设置。由于Kubernetes授权控制器的组合方式,你必须同时启用RBAC,并禁用传统的基于属性的访问控制(ABAC)。

一旦实施了RBAC,你仍然需要有效地使用它。通常应避免使用集群范围的权限,而使用特定于命名空间的权限。避免给予任何集群管理员权限,即使是为了调试,仅在需要的情况下,根据具体情况授予访问权限会更安全。

你可以使用`kubectl get clusterrolebinding`或`kubectl get rolebinding -all-namespaces`来探索集群角色和角色。 快速检查谁被授予特殊的“cluster-admin”角色,在这个例子中,它只是“masters”群:

如果你的应用程序需要访问Kubernetes API,请单独创建服务帐户,并为每个使用站点提供所需的最小权限集。这比为命名空间的默认帐户授予过宽的权限要好。

大多数应用程序根本不需要访问API,对于这些可以将`automountServiceAccountToken`设置为“false”。

3. 使用命名空间建立安全边界

创建单独的命名空间是组件之间重要的第一级隔离。当不同类型的工作负载部署在不同的命名空间中时,我们发现应用安全控制(如网络策略)要容易得多。

你的团队是否有效地使用命名空间?通过检查任何非默认命名空间来立即查找:

4. 隔离敏感的工作负载

为了限制受损的潜在影响,最好在一组专用计算机上运行敏感的工作负载。此方法降低了通过共享容器运行时(runtime)或主机,安全性较低的应用程序访问敏感应用程序的风险。例如,受损节点的kubelet凭证,通常只有在机密内容安装到该节点上安排的pod中时,才能访问机密内容。如果重要机密被安排到整个集群中的许多节点上,则攻击者将有更多机会窃取它们。

你可以使用节点池(在云或本地)和Kubernetes命名空间、污点(taint)、容差和其他控件来实现隔离。

5. 保障云元数据访问安全

敏感元数据(例如kubelet管理员凭据)有时会被盗或被滥用以升级集群中的权限。例如,最近的Shopify错误赏金(bug bounty)披露,详细说明了用户如何通过混淆微服务,泄漏云供应商的元数据服务信息来升级权限。GKE的元数据隐藏功能会更改集群部署机制以避免此暴露,我们建议使用它直到有永久解决方案。在其他环境中可能需要类似的对策。

6. 创建和定义集群网络策略

网络策略允许你控制进出容器化应用程序的网络访问。要使用它们,你需要确保拥有支持此资源的网络提供程序,对于一些托管的Kubernetes供应商,例如Google Kubernetes Engine(GKE),你需要选择启用。(如果你的集群已经存在,在GKE中启用网络策略将需要进行简短的滚动升级。)一旦到位,请从一些基本默认网络策略开始,例如默认阻止来自其他命名空间的流量。

如果你在Google容器引擎中运行,可以检查集群是否在启用了策略支持的情况下运行:

7. 运行集群范围的Pod安全策略

Pod安全策略设置在集群中允许运行工作负载的默认值。考虑定义策略,并启用Pod安全策略许可控制器,指令因云供应商或部署模型而异。首先,你可以要求部署删除NET_RAW功能,以抵御某些类型的网络欺骗攻击。

8. 加固节点安全

你可以按照以下三个步骤来改进节点上的安全状态:

  • 确保主机安全且配置正确。其一方法是根据CIS基准检查你的配置。许多产品都有自动检查器,可以自动评估这些标准的符合性。
  • 控制对敏感端口的网络访问。确保你的网络阻止访问kubelet使用的端口,包括10250和10255。考虑除了可信网络以外限制对Kubernetes API服务器的访问。恶意用户滥用对这些端口的访问权限,在未配置为需要在kubelet API服务器上进行身份验证和授权的集群中运行加密货币挖掘。
  • 限制对Kubernetes节点的管理访问。通常应限制对集群中节点的访问。调试和其他任务通常可以在不直接访问节点的情况下处理。

9. 启用审核日志记录

确保你已启用审核日志,并监视它们是否存在异常或不需要的API调用,尤其是任何授权失败,这些日志条目将显示状态消息“禁止(Forbidden)”。授权失败可能意味着攻击者试图滥用被盗的凭据。托管Kubernetes供应商(包括GKE),在其云控制台中提供此数据,并允许你设置授权失败警报。

下一步

遵循这些建议以获得更安全的Kubernetes集群。请记住,即使你按照这些提示安全地配置Kubernetes集群,你仍然需要在容器配置的其他方面及其运行时操作中构建安全性。在提高技术堆栈的安全性时,寻找能够为容器部署提供中心治理点的工具,并为容器和云原生应用程序提供持续监控和保护。

本文分享自微信公众号 - CNCF(lf_cncf),作者:CNCF

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2019-01-15

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 监控Kubernetes,第一部分:挑战+数据来源

    我们的行业长期以来一直依赖基于微服务的架构来更快、更安全地交付软件。微服务的出现和无处不在自然为容器技术铺平了道路,使我们能够重新思考如何构建和部署我们的应用程...

    CNCF
  • 如何克服第2天Kubernetes的技能差距

    https://nirmata.com/2020/07/09/how-to-overcome-the-day-2-kubernetes-skills-gap/

    CNCF
  • Kubernetes安全三步谈:如何监控与控制Kubernetes中的资源消耗问题

    本文是关于Kubernetes安全系列三篇文章中的最后一篇。在第一篇文章中,我们分享了如何确保企业的Kubernetes集群免受外部攻击;第二篇文章介绍了三种保...

    CNCF
  • 「容器云架构」基于NGINX 的Kubernetes控制器

    Kubernetes是一个开源的容器调度和编制系统,最初由谷歌创建,然后捐赠给云计算基金会。Kubernetes自动安排容器在服务器集群中均匀运行,从开发人员和...

    首席架构师智库
  • 【深度】Kubernetes v1.16 最值得工程师关注的改动

    昨天,Kubernetes 发布 2019 年的第三个新版本 1.16,才云第一时间对新版本重要更新做了精选整理,之后这篇文章被 CNCF 转发。经过一天的升级...

    CNCF
  • 最流行的五款Kubernetes交互式可视化工具

    Kuboard[1] 是一款免费的 Kubernetes 管理工具,提供了丰富的功能,结合已有或新建的代码仓库、镜像仓库、CI/CD工具等,可以便捷的搭建一个生...

    公众号: 云原生生态圈
  • CNCF案例研究:​诺基亚通过Kubernetes在电信公司实现5G和DevOps

    诺基亚的核心业务是端到端建设电信网络;其主要产品涉及基础设施,如天线、交换设备和路由设备。“作为电信供应商,我们必须将软件交付给几家电信运营商,并将软件放入他们...

    CNCF
  • 如何跨不同版本K8S,为有状态工作负载做蓝绿部署

    容器的生态正在爆发!不仅仅应用层在快速变化,还有用于管理应用程序的平台:Kubernetes,也在快速变化。这就为Ops团队带来了一个必须要解决的难题。IT团队...

    Portworx
  • RocketMQ性能测试【实战笔记】

    目的:对生产环境RocketMQ集群进行性能测试,该集群4主4从。 过程:线程数1、线程数10、线程数30、线程数60、线程数100、线程数150、线程数200...

    瓜农老梁
  • 这家公司去年营收5210亿,现在要做中国版米其林

    3月21日,中化农业旗下的中国优质农产品榜单——“熊猫指南”在北京首次亮相,熊猫指南主要针对中国农产品,遵照五大标准:“环境优、品种优、种植优、品质优及物有所值...

    罗超频道

扫码关注云+社区

领取腾讯云代金券