背景
Kubernetes 是一个流行的容器编排平台，由于其高度可扩展性和可定制性，其在企业中的使用越来越广泛。但是，在使用 Kubernetes 时，必须优先考虑安全问题，因为 Kubernetes 集群中的容器和服务可能面临诸如数据泄露、数据丢失、拒绝服务等安全威胁。因此，必须学习如何为 Kubernetes 部署实现访问控制和网络策略等关键安全功能。
Kubernetes 中的鉴权
在 Kubernetes 中，鉴权是控制访问权限的关键过程。鉴权允许您限制对 Kubernetes API 对象和 Kubernetes 集群中的其他组件的访问，并根据用户的角色和其他属性来控制资源的访问。Kubernetes 支持以下基于角色的访问控制 (Role-Based Access Control，RBAC) 对象：
- RoleBinding
- ClusterRoleBinding
- ServiceAccount
我们将重点关注这些对象：
Role 和 ClusterRole
Kubernetes 中的 Role 和 ClusterRole 都是权限定义对象。Role 对象用于定义对使用者 （例如用户或 ServiceAccount) 可以执行的操作进行限制，只可以用于限制某个命名空间内的资源，而 ClusterRole 不限制命名空间。以下示例演示如何创建 Role 对象：
-- -------------------- ---- ------- ----------- ---------------------------- ----- ---- --------- ---------- ------- ----- ---------- ------ - ---------- ---- - -- ---- --- - ---------- -------- ------ ------- -------- -------展开代码
上述示例定义了 pod-reader Role，该 Role 允许用户执行指定的操作 (get、watch、list) 并限制该 Role 可以访问的资源 (pods)。
RoleBinding 和 ClusterRoleBinding
RoleBinding 和 ClusterRoleBinding 都用于绑定权限定义对象 (Role 或 ClusterRole) 与 Kubernetes 用户（User）或 ServiceAccount。
-- -------------------- ---- ------- ----------- ---------------------------- ----- ----------- --------- ----- --------- ---------- ------- --------- - ----- ---- ----- ----- --------- ------------------------- -------- ----- ---- ----- ---------- --------- -------------------------展开代码
上述示例将 pod-reader Role 绑定到名为 admin 的 Kubernetes 用户，该用户现在可以执行 get、watch、list 操作以及其它操作定义中允许的操作。
ServiceAccount
ServiceAccount 是 Kubernetes 的一种资源类型，用于为容器提供身份验证信息。Kubernetes 管理一组 ServiceAccount，每个命名空间都有自己的默认 ServiceAccount。下面是创建一个 ServiceAccount 资源的示例：
apiVersion: v1 kind: ServiceAccount metadata: name: deploy-user namespace: default
现在，可以将此 ServiceAccount 用作 VolumeMount 对象或 Pod 规范中的其他对象的字段。
安全最佳实践
为了更安全地使用 Kubernetes，您可以考虑以下最佳实践：
- 限制 Pod 在集群内的通信
- 正确配置 kubectl
- 使用网络策略和标签限制网络和集群访问
- 启用 Kubernetes API 记录以检测和诊断安全事件
Kubernetes 网络策略
Kubernetes 网络策略用于定义 Pod 之间、Pod 和服务之间以及 Pod 和集群之间流量的规则集。Kubernetes 支持以下 3 种网络策略类型：
- 允许所有流量，不定义任何规则。
- 拒绝所有流量，定义所有规则，例如允许特定的流量。
- 让流量通过，定义特定规则，例如拒绝不必要的流量。
网络策略是以下几个对象的组合：
- 部署：部署一组 Pod。
- PodSelector：选择要规定规则的 Pod。
- PolicyTypes：指定呈现的通信方式。
- ingress 或 egress：规定规则作用的方向。
- 通过 ingress 和 egress 规定的规则。
-- -------------------- ---- ------- ----------- -------------------- ----- ------------- --------- ----- -------- ---------- ------- ----- ------------ -- ------------ - ------ ------- - --展开代码
上述示例是创建了一个默认拒绝所有流量的网络策略。只有与该策略相符的 Pod 可以彼此通信，其他的都不能这么做。现在，我们定义一下例外，让两个特殊标签的 Pod 可以通信：
-- -------------------- ---- ------- ----------- -------------------- ----- ------------- --------- ----- ------------------- ---------- ------- ----- ------------ ------------ ---- ----- -------- - ----- - ------------ ------------ -------- ------- ------------ - -------展开代码
上述示例中，我们创建了一个名为 allow-communication 的网络策略，这个策略允许所有 Pod 名为 myapp 的标签和标记为 project: finance 的 Pod 之间的 Ingress 流量。除此之外，该队列拦截所有其它 Ingress 流量。
安全最佳实践
为了更安全地使用 Kubernetes，您可以考虑以下最佳实践：
- 在 Pod 和服务间限制访问。
- 根据需求创建网络策略，并仅将其应用于需要限制的 Pod 中。
- 在网络策略中使用标签选择器来定义想要允许或禁止访问的目标。
- 确定使用的服务是加密的，并且只能从允许的客户端访问。
结论
在 Kubernetes 系统中，鉴权和网络策略是至关重要的安全措施。通过限制对系统中对象和资源的访问，用户和管理员可以确保系统的安全性和完整性。此外，Kubernetes 还支持网络策略来定义流量的特殊规则，从而让用户更好地控制程序之间的通信。
希望本文的介绍能够帮助读者理解 Kubernetes 安全的鉴权和网络策略的基本工作原理，为读者在实际应用中实现安全的 Kubernetes 部署提供更多思路。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/676e7db4e9a7045d0d6aafd2
