跳到主要内容

Kubernetes 安全最佳实践

Kubernetes 是一个强大的容器编排平台，但它也带来了许多安全挑战。为了确保您的集群和应用程序在生产环境中安全运行，遵循一些关键的安全最佳实践至关重要。本文将逐步介绍这些实践，并提供实际案例和代码示例。

1. 使用RBAC（基于角色的访问控制）​

RBAC 是 Kubernetes 中管理用户和服务账户权限的核心机制。通过 RBAC，您可以精确控制谁可以访问哪些资源。

示例：创建一个角色并绑定到用户​

yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "watch", "list"]
yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-pods
  namespace: default
subjects:
- kind: User
  name: jane
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io

在这个示例中，我们创建了一个名为 pod-reader 的角色，该角色允许用户 jane 在 default 命名空间中读取 Pod 信息。

提示

始终遵循最小权限原则，只授予用户和服务账户完成其任务所需的最小权限。

2. 使用网络策略限制Pod之间的通信​

Kubernetes 默认允许所有 Pod 之间自由通信。为了增强安全性，您可以使用网络策略来限制 Pod 之间的通信。

示例：创建一个网络策略​

yaml
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-frontend-to-backend
  namespace: default
spec:
  podSelector:
    matchLabels:
      role: backend
  ingress:
  - from:
    - podSelector:
        matchLabels:
          role: frontend
    ports:
    - protocol: TCP
      port: 6379

在这个示例中，我们创建了一个网络策略，只允许带有 role: frontend 标签的 Pod 访问带有 role: backend 标签的 Pod 的 6379 端口。

警告

确保您的网络插件支持网络策略，否则这些策略将不会生效。

3. 使用Secrets管理敏感信息​

Kubernetes 提供了 Secrets 对象来存储和管理敏感信息，如密码、API 密钥等。

示例：创建一个Secret​

yaml
apiVersion: v1
kind: Secret
metadata:
  name: my-secret
type: Opaque
data:
  username: YWRtaW4=
  password: MWYyZDFlMmU2N2Rm

在这个示例中，我们创建了一个名为 my-secret 的 Secret，其中包含 username 和 password 的 base64 编码值。

注意

虽然 Secrets 是加密存储的，但默认情况下它们是以 base64 编码的，因此并不安全。建议启用 Kubernetes 的加密功能来保护 Secrets。

4. 定期更新和打补丁​

Kubernetes 和其组件（如 kubelet、etcd 等）的定期更新和打补丁是确保集群安全的关键。

备注

始终在生产环境中使用稳定版本的 Kubernetes，并定期检查安全公告以获取最新的补丁。

5. 使用Pod安全策略（PSP）​

Pod 安全策略（PSP）允许您定义 Pod 的安全上下文，例如是否允许特权模式、是否允许挂载主机文件系统等。

示例：创建一个Pod安全策略​

yaml
apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
  name: restricted
spec:
  privileged: false
  seLinux:
    rule: RunAsAny
  supplementalGroups:
    rule: RunAsAny
  runAsUser:
    rule: MustRunAsNonRoot
  fsGroup:
    rule: RunAsAny
  volumes:
  - 'configMap'
  - 'emptyDir'
  - 'projected'
  - 'secret'
  - 'downwardAPI'
  - 'persistentVolumeClaim'

在这个示例中，我们创建了一个名为 restricted 的 Pod 安全策略，禁止特权模式并强制以非 root 用户运行。

警告

Pod 安全策略在 Kubernetes 1.21 中已被弃用，建议使用替代方案，如 OPA Gatekeeper。

6. 监控和日志记录​

监控和日志记录是检测和响应安全事件的关键。使用工具如 Prometheus 和 Fluentd 来收集和分析集群的日志和指标。

提示

定期审查日志，并设置警报以检测异常行为。

实际案例：保护一个电子商务应用​

假设您正在运行一个电子商务应用，该应用由前端、后端和数据库组成。以下是如何应用上述安全最佳实践来保护该应用：

  1. RBAC：为前端、后端和数据库服务创建不同的角色，并仅授予它们所需的权限。
  2. 网络策略：限制前端只能与后端通信，后端只能与数据库通信。
  3. Secrets：将数据库的凭据存储在 Secrets 中，并在部署时注入到后端 Pod 中。
  4. Pod 安全策略：确保所有 Pod 都以非 root 用户运行，并禁止特权模式。
  5. 监控和日志记录：设置 Prometheus 和 Fluentd 来监控集群的健康状况，并记录所有访问日志。

总结​

Kubernetes 安全是一个复杂但至关重要的主题。通过遵循上述最佳实践，您可以显著降低集群和应用程序的安全风险。始终记住，安全是一个持续的过程，需要定期审查和更新。

附加资源​

练习​

  1. 创建一个 RBAC 角色，允许用户 john 在 dev 命名空间中创建和删除 Pod。
  2. 编写一个网络策略，只允许带有 app: web 标签的 Pod 访问带有 app: api 标签的 Pod 的 8080 端口。
  3. 创建一个 Secret 来存储数据库的凭据，并在部署时将其注入到后端 Pod 中。

通过完成这些练习，您将更好地理解如何在实际场景中应用 Kubernetes 安全最佳实践。