什麼是 Kubernetes 安全性？

• 程式碼來自不受信任的倉管中心：不受信任的程式碼可能會包含惡意軟體或後門，繼而在無意間為不法人士授予權限。
• 基礎映像過於擁腫：容器化應用程式應遵循「少即是多」的原則，因此，開發人員必須減少不必要的套件、程式庫和殼層，以防遭到入侵。
  

• 授予不必要的權限：請盡可能授予最低限度的權限，且僅裝載工作所必備的機密資訊，藉此縮小攻擊範圍。
• 未能隔離叢集中的應用程式：請務必使用命名空間，將資源和團隊相互區隔開來。
• 叢集中發生橫向移動：請使用原則來劃分網路，以防攻擊在叢集中橫向移動。
• 未經授權的存取：請確保設定角色型存取控制 (RBAC) 經過適當設定，以限制存取。
  

• 基礎架構攻擊：在執行階段期間，包含 API 伺服器、etcd 和控制器在內的 Kubernetes 基礎架構元件，都會發生各自的攻擊範圍。
• 複雜度：Kubernetes 叢集的持續運作狀況，會涵蓋許多不斷變化的作業。遭到入侵的容器必須快速遭到隔離、停用，並由正常的容器取而代之；在此同時，也需鎖定攻擊來源並加以修復。
  

若要採取最佳實踐方式，建議您從最基本的 Distroless 映像著手，且僅新增絕對必要的項目。畢竟，規模越小，安全性就越高。

• 使用最基本的主機作業系統、結束唯讀裝載，並使用 SELinux 選項來進行更多控制。
• 徹底掃描映像中的弱點，包括作業系統映像，以及任何類型的外部映像。受信任的外部來源並不存在。
• 透過符合邏輯的方式，使用命名空間和角色型存取控制將叢集和使用者劃分開來。凡是不需要的項目，都不應加以顯示。
• Kubernetes 網路會預設允許任何通訊，因此，在生產環境中執行前，請務必實作網路分段。謹慎定義流入和流出原則，以確保連線會透過適當方式路由。
• 提供最小限度的權限，且絕對不要以根目錄的方式執行應用程式流程。使用唯讀的根目錄檔案系統，以抵禦任何透過安裝軟體或修改檔案系統所發動的攻擊。
• 將安全性 (例如映像掃描) 整合至持續整合 / 持續交付管道中，最好一併執行 CIS 基準安全性測試。
• 保護叢集本身。請設定角色型存取控制，以限制 API 伺服器的存取權限，並確保所有 etcd 通訊都會使用 TLS 加密，繼而安全無虞。同樣地，請設定 kubelets 的角色型存取控制，以鎖定 kubelets 權限。
• 善加利用 Kubernetes 的內建控制項，例如設定安全性關聯性，以便對機組存取權限做出限制。
• 主動式安全性應涵蓋流程活動監控、服務之間的通訊，以及外部至叢集的通訊。