关于kubernetes:CISO-需考虑的五项-Kubernetes-安全措施

随着企业对软件开发的安全意识进步，开发和运维环节中各个团队也开始将平安嵌入他们正在应用或解决的平台或应用程序架构中。不同于各团队把对平安的关注放在本人所解决的环节，首席信息安全官（CISO）须要把握和负责从基础架构团队到应用程序团队等企业外部的所有平安问题。

浏览本文，将带您理解 CISO 须要思考施行的五项 Kubernetes 安全措施。

牢靠的身份验证解决方案

在创立一个 Kubernetes 集群或创立 500 个 Kubernetes 集群的时候，每个 CISO 想到的第一个问题是“工程师和用户将如何对这个 Kubernetes 集群进行身份验证？”。现成可用的解决方案有 RBAC 角色和权限，对用户和零碎组件（如服务帐户）进行身份验证，以容许拜访特定的 Kubernetes 资源。当然这样做可能还不够，企业须要思考一些其余因素，比方 Kubernetes 的 oAuth 和 SSO。

依据企业部署 Kubernetes 的地位，有局部解决方案能够在本地运行，而其余解决方案则须要单另施行。举例来说，Azure Kubernetes Service (AKS) 等基于云的 Kubernetes 服务中，工程师可能取得开箱即用的 Azure Active Directory，从而在整个组织的所有 AKS 集群中启用和施行。Active Directory 是一种久经考验的用户身份验证办法，它能够在 AKS 上运行的所有 Kubernetes 集群中良好利用。

如果应用的 Kubernetes 环境没有像 Active Directory 这样的本机解决方案，能够思考反对 OpenID Connect (OIDC) 的选项。例如，Okta 和 AuthO 曾经集成了可用的 Kubernetes 身份验证解决方案。

施行 Kubernetes 时的平安习惯

在首次施行 Kubernetes 时，有很多平安习惯能够帮忙缓解大量平安危险。

第一个是单租户和多租户集群。从 Kubernetes 的角度思考单租户或多租户时，通常会思考有多少用户能够拜访集群以及集群上运行的应用程序的内容。而从用户的角度来看，则更多关注 Kubernetes 集群是不是被设置为只有一个用户可能拜访，也就是说每个用户都能够领有本人的 Kubernetes 集群，从而升高多租户危险。如果须要多租户（很多状况都是如此），那么为用户设置适当的 RBAC 权限至关重要。这样以来，用户就只能拜访他们基于本身角色所须要的内容。

对于 Kubernetes，与之交互的所有资源都是 Kubernetes API 的一部分。有 API 的中央就有日志、指标和跟踪。如 Prometheus 和 Grafana，能够从 Kubernetes 集群中检索平安日志，这可能帮忙团队无效缓解平安危险。不仅如此，工程团队还能够为这些日志设置警报，以便及时理解和解决。

从隔离的角度来说，从一开始就建设适合的命名空间（Namespace）的习惯十分重要。依据拜访级别，用户可能能够跨命名空间部署应用程序和资源，包含 Default 甚至 kube-system，其中蕴含运行集群所需的外围 Kubernetes Pod。为了防止这个问题，用户和服务帐户该当只有权将应用程序部署到特定的命名空间。

K8s 左移

Kubernetes 左移，以及时发现和缓解相应平安危险，这能为 CISO 及软件工程团队省去不少麻烦。

例如，企业的开发团队正在应用 CI/CD 平台从应用程序构建容器镜像。通过左移场景，能够确保团队正确扫描进入容器镜像的应用程序二进制文件，并且当构建容器镜像实现时，应用 KSOC 等平安平台来扫描部署到 Kubernetes 集群。一旦容器镜像被扫描和验证，它们就能够被部署到 Kubernetes。

• Kubernetes 左移可能确保：
• 应用程序二进制文件被扫描
• 容器镜像被扫描
• 所有容器镜像都通过验证

这样能够节俭团队的工夫、精力并省去后续的手动修复，确保应用程序能够在适当的工夫范畴内部署到 Kubernetes，并满足上市和公布策略周期。

进步合规性审计

随着 Kubernetes、云原生平台、资源平台等技术的飞速发展，捕获随时可能呈现的每一个可能造成安全隐患的问题简直是不可能实现的工作。因而企业应用内部审计参谋来帮忙满足 HIPPA、PCI、PHI 和 SOC2 合规性需要，还是与外部团队成员一起执行审计，或者内外部审计同时进行，都能够为企业的 Kubernetes 环境提供更好的平安保障。

审核能够采纳以下模式：

• 全环境扫描
• 残缺的应用程序扫描
• 单个 Kubernetes 集群扫描
• 残缺的 Kubernetes 环境扫描
• Kubernetes 生成的日志
• 实时 Kubernetes 破绽剖析

上述所有模式

审计并发现破绽，可能在危险变成更大问题甚至影响整个组织的问题之前，及时并无效升高危险。

多环境的灵活性

最初是对于多环境（multi-environment）的灵活性。随着云原生的一直倒退，目前存在三种云环境模式：

• 多云
• 混合云
• 繁多云

从繁多云的角度来看，CISO 只须要关注和爱护一个云中的组件和资源。然而波及到多云或者混合云环境时，企业资源将位于多个地位，且须要跨网络进行通信。而混合云就是局部基础架构在本地，另一部分则在云上。因而企业须要同时爱护基础架构、本地外部网络、云基础架构、云服务以及本地与云之间的通信。对于多云环境，企业不仅要爱护每个云中运行的云服务，还要爱护云之间的通信。

因为混合云和多云的利用越来越宽泛，将来会有越来越少的企业思考繁多环境。因而，如同思考跨多个数据中心的环境一样，CISO 同样也须要思考存在多个跨云和混合环境时的状况。