问Kubernetes集群安全模型

EN

你要找的是Kubernetes是否对多租户是安全的，这是一个有趣的问题，取决于许多因素。

对于多租户，Kubernetes是不安全的，因为任何能够在集群中创建工作负载的用户都可以指定参数，这些参数允许他们对底层节点进行特权访问。

另一个挑战是网络，在大多数情况下，它是一个平面网络，集群中运行的所有工作负载都可以直接与其他所有工作负载通信。

然后，您可以使用像CVE-2020-8554这样的东西(在许多集群中)，允许任何能够创建服务对象的用户劫持集群中其他工作负载的流量。

然后是容器突破的风险，在过去的几年中有一些CVEs允许一个容器中的用户突破到底层主机(一些细节这里)

可以减轻所有这些问题，但是集群所有者需要做大量的工作。通常，对于那些担心其他用户的攻击的人，我的建议是运行单独的集群。

在关于好的Kubernetes安全资源的另一个主题上，有很多需要您查看。

有一本关于集装箱安全这里的O‘’Reilly书，还有一本关于Kubernetes黑客这里的书

如果您需要更多关于容器技术的详细信息，可以使用一些培训资源来维护这里列表和阅读列表，这里。

然后，如果您对增强Kubernetes感兴趣，那么就会有顺式基准或国安局硬化指南以及一系列详细介绍一些基本的Kubernetes安全问题的文章，这些内容与容器编排证券化这里的PCI指南有关。

共享集群是Kubernetes的本机运行模型。它是解决方案的一部分，它减少了基础设施开销，并且可以扩展到数千个容器。

我不是一个k8s专家，在很大程度上还是在一开始，所以谁知道得更好，请随时纠正我。

k8s并不是容器编排引擎，它管理集群中运行的所有容器的生命周期，包括网络和存储。关于安全，我们现在必须看不同的层次，以便能够正确地模拟我们的威胁和风险。

第1层基础设施

集群至少由3个节点组成，无论是物理节点还是虚拟节点。对节点具有物理或网络访问权限的任何人至少可以访问在该特定节点上运行的所有内容。为了这个答案，我们相信这一层。

第2层网络

除了物理网络之外，k8s还提供了一个软件定义的网络来连接所有容器，就像在基于码头的网络中一样。要处理入口和出口，通常在公共IP上运行负载均衡器；在多租户模型中，大多数情况下每个名称空间都有一个LB，这就为我们提供了公共IP。

在网络方面，我们可以把Namespace看作是一个私有子网，其中负载平衡器充当通往互联网的网关。

默认情况下，名称空间间路由是禁用的，但群集管理员可以激活它。

因此，要使您的应用程序世界在您的命名空间中可访问，您必须部署像Traefik这样的入口控制器(还有许多其他的，但我只知道Traefik)。

然后，该入口与部署中的吊舱(也称为容器)进行通信，主要由Service负载平衡。有些工具支持HTTPS进行集群内通信，但是您需要相应地调整应用程序，使用这些证书等。这样可以防止当集群分散在多个数据中心上时监听基础结构层。

第3层访问控制

k8ws采用基于角色的访问控制方法.集群管理可以访问集群中的所有内容，并可以创建新角色，比如您的Admin并将其交给您。

此角色定义了用户在wich名称空间中可以做什么，而另一个名称空间中的另一个用户默认情况下不能访问您的名称空间中的重新源，除非在他的角色中定义。这里是一个可以读取集群中所有秘密的角色的良好示例：

Recommendations

为了在共享集群中安全地运行应用程序，我将解决以下问题：

• 问集群管理员他的安全概念和角色榜样。也许可以让你展示角色，并询问一个书面的概念。
• 在您的命名空间中使用专用的侵入控制器来控制网络流
• 正确设置用于命名空间内通信的HTTPS

其他一些建议，不具体限于共享组群：

• 使用不可变的容器
• 使用无根容器
• 从运行应用程序所不需要的所有工具中剥离容器。

这将减少获得部署访问权限的攻击者所能造成的损害。

关于纳姆斯帕塞的更多信息更多关于RBAC的信息

希望这能有所帮助。