文档建议反馈控制台
首页
学习
活动
专区
工具
TVP
最新优惠活动
文章/答案/技术大牛
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    Fortify软件安全内容 2023 更新 1

    ARM 提供了一个管理层，可用于创建、更新和删除 Azure 帐户中的资源。...GCP Terraform 不良做法：过于宽松的服务帐户GCP Terraform 不良做法：Apigee 缺少客户管理的加密密钥GCP 地形配置错误：缺少客户管理的加密密钥GCP Terraform...配置错误：启用 readOnlyPortKubernetes 不良做法：服务帐户令牌自动挂载Kubernetes 配置错误：服务帐户令牌自动挂载Kubernetes 不良做法：共享服务帐户凭据Kubernetes...配置错误：共享服务帐户凭据Kubernetes 不良做法：静态身份验证令牌Kubernetes 配置错误：静态身份验证令牌Kubernetes 不良做法：未配置的 API 服务器日志记录Kubernetes...配置错误：未配置 API 服务器日志记录Kubernetes配置错误：不安全的传输Kubernetes 配置错误：不安全的 kubelet 传输Kubernetes 配置错误：服务器身份验证已禁用Kubernetes

    7.9K30

    通过Kyverno使用KMS、Cosign和工作负载身份验证容器镜像

    首先，我们需要在 GKE 上创建一个 Kubernetes 集群，并启用工作负载身份（Workload Identity）特性。...工作负载身份[10]允许 GKE 集群中的 Kubernetes 服务帐户充当 IAM 服务帐户。...当访问 Google Cloud API 时，使用已配置的 Kubernetes 服务帐户的 pod 会自动验证为 IAM 服务帐户。...当你在集群上启用工作负载身份时，GKE 会自动为集群的 Google Cloud 项目创建一个固定的工作负载身份池。工作负载身份池允许 IAM 理解和信任 Kubernetes 服务帐户凭证。.../docs/how-to/workload-identity 接下来，我们需要创建一个 GCP IAM 服务帐户来映射一个 Kubernetes 服务帐户，以便对 GCP 服务进行授权呼叫。

    4.9K20

    Google Workspace全域委派功能的关键安全问题剖析

    如果获得了跟计算引擎实例绑定的GCP服务帐户令牌，则情况将更加严重。此时，攻击者将可能利用全域委派功能来产生更大的影响。...需要委派的 GCP 服务帐户才能创建与 Google 服务交互、访问 Google API、处理用户数据或代表用户执行操作的应用程序。 什么是服务账户？...服务帐户是GCP中的一种特殊类型帐户，代表非人类实体，例如应用程序或虚拟机。服务账户将允许这些应用程序进行身份验证并于Google API交互。...在下图中，显示了一个Cortex Web接口的XQL查询，该查询可以在GCP审计日志中搜索服务账号的密钥创建行为： 等价的Prisma Cloud RQL语句： 下图显示的是查询服务账号授权日志的XQL...GCP服务帐户的全域委派，并授予其对敏感范围的访问权限”警报： 缓解方案 为了缓解潜在的安全风险问题，最佳的安全实践是将具备全域委派权限的服务账号设置在GCP层次结构中更高级别的文件夹处，因为GCP层次模型中

    23010

    idou老师教你学istio：如何为服务提供安全防护能力

    不同平台上的 Istio 服务标识： Kubernetes: Kubernetes 服务帐户 GKE/GCE: 可以使用 GCP 服务帐户 AWS: AWS IAM 用户/角色 帐户 On-premises...(non-Kubernetes): 用户帐户，自定义服务帐户，服务名称，istio 服务帐户或 GCP 服务帐户。...目前，Istio 为每个方案使用不同的证书密钥配置机制，下面试举例 Kubernetes 方案的配置过程： Citadel 监视 Kubernetes apiserver，为每个现有和新的服务帐户创建...创建 pod 时，Kubernetes 会根据其服务帐户通过 Kubernetes secret volume 将证书和密钥对挂载到 pod。...Citadel 监视每个证书的生命周期，并通过重写 Kubernetes secret 自动轮换证书。 Pilot 生成安全命名信息，该信息定义了哪些服务帐户可以运行某个服务。

    1.1K50

    手把手教你用 Flask，Docker 和 Kubernetes 部署Python机器学习模型（附代码）

    我们将在 Google 云平台（GCP）上使用 Kubernetes 引擎。 启动并运行 Google 云平台 在使用 Google 云平台之前，请注册一个帐户并创建一个专门用于此工作的项目。...初始化 Kubernetes 群集 首先，在 GCP UI 中，访问 Kubernetes 引擎页面以触发 Kubernetes API 启动。...在部署 Tiller 之前，我们需要创建一个在集群范围内的超级用户角色来分配给它，以便它可以在任何命名空间中创建和修改 Kubernetes 资源。...为了实现这一点，我们首先创建一个服务帐户，通过此方法，pod 在与服务帐户关联时，可以向 Kubernetes API 进行验证，以便能够查看、创建和修改资源。...我们在 kube 系统名称空间中创建它，如下所示， kubectl --namespace kube-system create serviceaccount tiller 然后在此服务帐户和群集角色之间创建绑定

    6K20

    如何在Kubernetes上使用Istio Service Mesh设置Java微服务?

    在Azure Kubernetes Service（AKS）上创建群集 如果要使用Azure，请安装Azure CLI与Azure进行交互。...安装并使用Azure帐户登录（如果您还没有免费帐户，则可以创建一个免费帐户）。如果没有，请跳过本节。 首先，让我们创建一个资源组。您可以在这里使用任何您喜欢的地区，而不是美国东部。...kubernetes-version如果支持，可以尝试使用更高版本，否则请坚持使用1.13。 创建集群可能需要一段时间，因此请放松休息。 创建集群后，通过运行以下命令从kubectl获取其凭据。...在Google Kubernetes Engine（GKE）上创建集群 如果您要使用Google Cloud Platform（GCP），请安装Gcloud CLI与GCP进行交互。...安装并使用您的GCP帐户登录（如果您还没有免费帐户，则可以创建一个免费帐户）。 您可以使用以下命令设置区域和区域，也可以在执行每个命令时通过zone选项。

    3.8K51

    服务器实时监控平台Telegraf+InfluxDB+Grafana

    服务器实时监控平台 Telegraf+InfluxDB+Grafana 目录 1、InfluxDB 1.1、安装 1.2、配置 1.3、启动与查看状态 1.4、创建数据库与帐户密码 2、Telegraf...1.4、创建数据库与帐户密码 进入数据库 influx 创建数据库telegraf create database telegraf 创建管理员admin，密码为admin create user...填写配置信息： Name：自定义名称 URL：当InfluxDB和Grafana安装到同一台服务器上，可写localhost Database：匹配安装InfluxDB时，所创建的数据库与帐户密码...Studio客户端连接工具来查询数据库 如图所示： 4.4、Grafana创建数据源 登陆Grafana，创建数据源（选择InfluxDB作为数据源） 填写配置信息： Name：自定义名称 URL...：当InfluxDB和Grafana安装到同一台服务器上，可写localhost Database：匹配Telegraf配置文件（telegraf_mysql.conf），所创建的数据库与帐户密码。

    1.9K20

    WireGuard 系列文章（八）：基于 WireGuard 的 K8S CNI Kilo 简介

    除了创建多云集群（即一个集群跨越多朵公有云），Kilo 还支持创建多集群服务，即跨不同 Kubernetes 集群的服务。...为了知道要创建什么连接，Kilo 需要知道每个位置上有哪些节点。Kilo 会试图从拓扑结构 topology.kubernetes.io/region[17] label 中推断出每个节点的位置。...附加模式 现有集群的管理员如果不希望改变现有的网络解决方案，可以以附加模式运行 Kilo。...（这也是后面要实战的主要内容）； •更普遍的是，不安全的链接可以被加密，而安全的链接可以保持快速且未封装。...例如，为了将谷歌 Cloud 和 AWS 中的节点连接到一个单独的集群中，管理员可以使用下面的代码片段在名称中对所有具有 GCP 的节点进行注释： for node in $(kubectl get nodes

    2.9K30

    Kubernetes的Top 4攻击链及其破解方法

    步骤2：利用 如果集群使用默认设置，其中服务帐户令牌被挂载到集群中的每个创建的pod中，攻击者可以访问令牌并使用它来进行身份验证，从而访问Kubernetes API服务器。...步骤1：侦察 攻击者使用端口扫描器扫描集群网络，查找暴露的pod，并找到一个使用默认服务帐户令牌挂载的暴露的pod。 Kubernetes默认为每个命名空间自动创建一个服务帐户令牌。...如果在将pod部署到命名空间时未手动分配服务帐户，则Kubernetes将该命名空间的默认服务帐户令牌分配给该pod。 步骤2：利用 黑客渗透了一个使用默认设置的带有服务帐户令牌挂载的暴露的pod。...步骤3：横向 & 纵向移动 如果未启用RBAC或与pod相关的RBAC策略过于宽松，攻击者可以使用受损pod的服务帐户创建一个具有管理员权限的新特权容器。...步骤4：数据外泄 具有管理员权限的黑客可以创建绑定和群集绑定到cluster-admin ClusterRole或其他特权角色，从而获得对集群中所有资源的访问权。

    16910

    在kubernetes 集群内访问k8s API服务

    所有的 kubernetes 集群中账户分为两类，Kubernetes 管理的 serviceaccount(服务账户) 和 useraccount（用户账户）。...基于角色的访问控制（“RBAC”）使用“rbac.authorization.k8s.io”API 组来实现授权控制，允许管理员通过Kubernetes API动态配置策略。 ?...通过创建 RoleBinding 或者 ClusterBinding 把 用户(User),用户组（Group）或服务账号（Service Account）绑定在 Role 或 ClusterRole...默认情况下，RBAC策略授予控制板组件、Node和控制器作用域的权限，但是未授予“kube-system”命名空间外服务帐户的访问权限。这就允许管理员按照需要将特定角色授予服务帐户。...所以这里就是要给Service Account 授权，授权可以参考Kubernetes-基于RBAC的授权： https://www.kubernetes.org.cn/4062.html

    1.6K30

    超越PaaS：2025年更智能的云原生开发方法

    这种组合提供了类似PaaS的部署简单性和强大的开发者生产力功能，同时保持了在您自己的云帐户（AWS/GCP）中运行所有内容的灵活性。...像IaC一样，它允许您使用您自己的云提供商和强大的基础设施服务，如Kubernetes，但无需任何Terraform的手动开销和复杂性。...您的基础设施保留在您自己的AWS或GCP帐户中，因此您永远不会失去控制。 Encore的开源CLI提供了将您的应用程序构建为Docker容器所需的工具，因此您可以将其部署到任何地方。...如果您选择使用Encore Cloud来完全自动化您的基础设施和部署，您仍然可以使用您的AWS或GCP云帐户，因此您可以从第一天起就拥有您的基础设施和数据。...清单，您可以编写普通的TypeScript或Go代码，并使用框架来包装您的函数以创建API，或者使用单行代码来定义您的基础设施，如数据库和Pub/Sub。

    7410

    6 年经验 DevOps 工程师年薪 105 万元、10 年经验 115 万元

    DevOps之所以越来越受欢迎，是由于它为公司企业提供了一种敏捷的方法，以创建和改进产品、服务和流程，这与以前不一样。...这方面的好处包括如下： •提供实用性 •一切都保存在一个帐户中 •保证开箱即用的顶级安全性 •附带许多准备实施的服务 所有这一切都表明，GCP保证拥有比AWS和Azure顺畅得多的开发周期。...不过与Azure专家和AWS专家相比，面向GCP的DevOps工程师的情况来得更复杂一点。许多使用GCP的企业组织实际上为认证工程师提供更高的薪水，因此专门的GCP专业人员存在严重短缺的现象。...该表显示了基于角色经验的DevOps年薪增长： 想要在市场上取得成功，GCP DevOps工程师必须对Kubernetes有全面深入的了解，因为谷歌直接参与了Kubernetes的开发和发展。...这意味着谷歌Kubernetes引擎（GKE）总是更好、更快，并且支持最新版本的Kubernetes。任何想在业务运营中使用Kubernetes的公司都将花费更少的钱和时间来选择谷歌云平台。

    1.4K30

    通过Kubecost量化Kubernetes使用成本

    我们希望基于租户创建报告，以便可以将其与预算相对应。市场上有许多用于 Kubernetes 成本报告的解决方案，我们一直在寻找开源的东西，最终选择了 Kubecost。...未充分利用的节点报告 这提供了当前未充分利用的节点报告，并且可以在其他节点中迁移或调整其工作负载。这是一份非常重要的报告。...就像成本分配视图一样，您可以基于名称空间，Kubernetes 对象或标签生成这些报告。您可以添加过滤器并创建特定于特定租户或团队的报告。...如果您的计费帐户与运行 Kubecost 的帐户相同，则设置起来会稍微容易一些。...Kubecost 可以与 AWS 和 GCP 集成。它还可以为您提供自定义定价，以免与计费帐户集成。

    1.2K40

    ASP.NET Core之跨平台的实时性能监控

    所以本文分为3个步骤 1.安装InfluxDb,并创建数据库 2.安装Grafana,并添加相关配置 3.在ASP.NET Core中使用App Metrics 下面我们正式开始 ?...正文 1.安装InfluxDb,并创建数据库 App.Metrics支持的库很多,有InfluxDB、Graphite 、Prometheus. 今天我们主要已InfluxDb为例子....Grafana默认会监听3000的端口,所以我们进入http://localhost:3000, 会让你登陆,直接输入本地的管理员帐户即可,帐户:admin  密码:admin,进入后如图: ?...我们随便创建一个ASP.NET Core MVC项目,如图: ?  用nuget包添加引用: 核心程序: ? 管道注入的扩展: ? ASP.NET Core MVC的扩展: ?...上给作者提了Issues,https://github.com/alhardy/AppMetrics/issues/177 希望感兴趣的基友们一起加入,这里也吐槽一下,..我就一句话..社区需要我们共通创建

    2.2K70
    点击加载更多

    扫码

    添加站长 进交流群

    领取专属 10元无门槛券

    手把手带您无忧上云

    扫码加入开发者社群

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2025 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 深公网安备号 44030502008569

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号 | 京公网安备号11010802020287

      领券