问我应该在Kubernetes前面添加DMZ吗？

EN

这是一个意见问题，所以我会用一个选项来回答。

如果你在你的集群中遵循standard security practices，这是非常安全的。但没有什么是百分之百安全的。因此，添加DMZ将有助于减少您的攻击向量。

在从外部保护您的Ingress方面，您可以将您对外部负载平衡器的访问限制为HTTPS，大多数人都这样做，但请注意，HTTPS和您的应用程序本身也可能存在漏洞。

至于您的pod和工作负载，您可以使用精心设计的seccomp配置文件和/或在pod安全上下文中添加正确的capabilities来提高安全性(以一些性能为代价)。您也可以使用AppArmor或SELinux添加更多的安全性，但很多人不这样做，因为它可能会变得非常复杂。

为了更容易地沙箱你的pod(在撰写本文时还处于其生命周期的早期)，Docker还有其他的替代品：Kata Containers、Nabla Containers和gVisor。

这是一个相当开放的问题。在Google Cloud中，我认为Ingress通常是一个Google Cloud负载均衡器。想必，与您管理的DMZ相比，负载均衡非常安全。k8s入口通常也仅限于HTTP流量，因此通过入口的“黑客攻击”可能需要利用应用层漏洞。这在很大程度上取决于您的特定设置。

就Pod安全性而言，在Pod中获取执行访问权限是不好的。Docker不是有意义的安全或有意义的沙箱。同样，这取决于您的设置，但作为一个明确的类比:不推荐使用k8s Pod来运行不受信任的代码。