Kubernetes 安全 基于云原生安全 4C：云、集群、容器和代码：
- 云 （或企业数据中心/托管设施）：底层物理基础设施是 Kubernetes 安全的基础。无论集群是建立在自己的数据中心还是云提供商上，都必须遵守基本的云提供商（或物理安全）最佳实践。
- 集群：保护 Kubernetes 集群涉及可配置组件（例如 Kubernetes API）和集群中所有应用程序的安全性。由于大多数云原生应用程序都是围绕微服务和 API 设计的，因此应用程序的安全性取决于构成整个应用程序的服务链中最薄弱的环节。
- 容器：容器设计最佳实践包括：从可能的最小代码库开始（不包括不必要的库或函数），避免向容器中的用户授予不必要的权限，并确保在构建时扫描容器以查找漏洞。
- 代码：代码为任何 Kubernetes 环境提供了一个主要的攻击面。使用 TLS 握手加密 TCP、不暴露未使用的端口、定期扫描和测试等简单策略有助于防止生产环境中出现安全问题。
为什么 Kubernetes 安全性在容器生命周期中很重要？
由于 Kubernetes 集群的分布式、动态特性，Kubernetes 安全性在整个容器生命周期中都很重要。应用程序生命周期的三个阶段中的每个阶段都需要不同的安全方法：构建、部署和运行时。Kubernetes 提供了先天的安全优势。例如，应用程序容器通常不会打补丁或更新——相反，容器镜像完全被新版本替换。如果在新代码中发现漏洞，这可以实现严格的版本控制并允许快速回滚。
但是，由于单个 pod 是瞬态的，因此不断变化的运行时环境可能会给 IT 安全专业人员带来挑战，因为应用程序和与其他应用程序和服务的 API 链接不断变化。
应用程序生命周期中最重要的 Kubernetes 安全漏洞是什么，您如何解决这些漏洞？
Kubernetes 安全工具应该：
- 减少时间以确保代码没有妥协。
- 为代码提供一定程度的信任提供数字签名。
- 不仅在代码中而且在配置问题中提供可见性和透明度。
- 防止信息进入（传入连接）或传出（出站连接）到不安全的服务。
构建过程中最常见的 Kubernetes 安全漏洞是什么？
- 来自不受信任的注册表的代码。不受信任的代码可能包括恶意软件或后门，它们可能会无意中授予不良行为者访问权限。
- 臃肿的基础图像。对于容器化应用程序而言，少即是多，因此开发人员应消除可能受到损害的不必要的包、库和 shell。
部署期间最常见的 Kubernetes 安全漏洞有哪些？
- 授予不必要的特权。在可能的情况下，将权限保持在最低限度，并仅安装任务所需的机密以缩小攻击面。
- 未能隔离集群中的应用程序。命名空间应该用于保持资源和团队彼此分离。
- 集群内的横向运动。 使用对网络进行分段的策略来防止攻击在集群内横向移动。
- 越权存取。 确保正确配置基于角色的访问控制 (RBAC) 以限制访问。
运行时最常见的 Kubernetes 安全漏洞是什么？
- 基础设施攻击。在运行时，包括 API 服务器、etcd 和控制器在内的 Kubernetes 基础设施元素都呈现出自己的攻击面。
- 复杂性。Kubernetes 集群的持续健康有许多活动部分。在定位和修复攻击源的同时，必须快速隔离、停止受损容器并用健康容器替换。
什么是高级 Kubernetes 安全检查表？
最佳实践建议包括：从最少的、无发行版的图像开始，只添加绝对必要的内容。越小越安全。
- 使用最小的主机操作系统，结束只读挂载，并使用 SELinux 选项进行更多控制
- 从上到下扫描图像以查找漏洞，包括操作系统图像和任何类型的外部图像。没有外部可信来源这样的东西。
- 使用命名空间和 RBAC 以逻辑方式对集群和用户进行分段。如果不需要，它不应该是可见的。
- Kubernetes 网络 默认允许任意通信，因此 应在生产之前实施网络分段。仔细定义入口和出口策略，以确保正确路由连接。
- 将权限保持在最低限度，并且永远不要以 root 身份运行应用程序进程。使用只读根文件系统可以防止任何依赖于安装软件或修改文件系统的攻击。
- 将图像扫描等安全性集成到 CI/CD 管道中。更好的是，运行 CIS Benchmark 安全测试。
- 保护集群本身。配置 RBAC 以限制对 API 服务器的访问，并确保所有 etcd 通信都使用 TLS 加密进行保护。同样，通过为 kubelet 配置 RBAC 来锁定 kubelet 权限。
- 利用 Kubernetes 中的内置控件，例如配置安全上下文以限制 pod 访问。
- 主动安全应包括监控进程活动、服务之间的通信以及集群外部的通信。
