CentOS环境下K8S部署的安全策略

CentOS环境下K8S部署安全策略

1. 认证与授权：精细化管控集群访问

• TLS加密API通信：为API服务器、etcd、kubelet等关键组件配置双向TLS证书，确保组件间通信及客户端与API服务器的交互全程加密，防止数据泄露。
• RBAC最小权限原则：通过Role（命名空间级）和ClusterRole（集群级）定义细粒度权限，结合RoleBinding/ClusterRoleBinding将权限分配给用户、组或服务账户。例如，为开发人员创建仅能访问特定命名空间Pod的pod-reader角色，避免过度授权。
• 多因素认证（MFA）：集成OIDC（如Keycloak）、LDAP等身份提供商，或使用kube-bench等工具强制API访问需MFA验证，提升身份认证安全性。

2. Pod与容器安全：限制运行时权限

• Pod安全策略（PSP）/Pod安全标准（PSS）：通过PodSecurityPolicy（CentOS 7常用）或PodSecurity admission controller（K8S 1.25+推荐）限制容器特权模式（privileged: false）、Linux capabilities（如NET_ADMIN）、挂载卷类型（禁止hostPath）及宿主机命名空间共享（hostPID: false），防止容器逃逸。
• 安全上下文（SecurityContext）：为Pod和容器设置runAsNonRoot: true（以非root用户运行）、readOnlyRootFilesystem: true（根文件系统只读）、allowPrivilegeEscalation: false（禁用提权），并通过fsGroup设置持久卷访问权限，降低容器内进程权限。

3. 网络安全：隔离集群内部流量

• 网络策略（NetworkPolicy）：使用Calico、Cilium等支持NetworkPolicy的CNI插件，配置deny-all默认策略（拒绝所有Pod间及出入站流量），仅允许必要的通信（如前端Pod访问后端Pod的特定端口）。例如，允许带app: frontend标签的Pod访问带app: backend标签的Pod的8080端口。
• 防火墙与节点隔离：通过firewalld或iptables限制对API服务器端口（默认6443）的访问，仅允许可信IP段；使用污点（Taints）和容忍度（Tolerations）控制工作负载调度到特定节点（如将监控节点标记为NoSchedule，仅允许监控组件调度）。

4. 镜像安全：防范供应链攻击

• 可信镜像与最小化基础镜像：使用私有镜像仓库（如Harbor）托管镜像，避免从公共仓库（如Docker Hub）拉取未验证的镜像；优先选择Alpine、distroless等最小化基础镜像，减少不必要的组件和漏洞。
• 镜像扫描与签名：部署前使用Trivy、Clair等工具扫描镜像漏洞（如CVE），并通过Cosign等工具对镜像进行签名，启用ImagePolicyWebhook验证签名，确保镜像完整性和来源可信。

5. 数据安全：保护敏感信息

• Secrets管理：将敏感信息（如数据库密码、API密钥）存储在Kubernetes Secrets中，而非硬编码在Pod或镜像中；通过stringData字段加密敏感数据，并使用kubectl create secret命令创建Secrets。定期轮换Secrets（如每月一次），避免长期泄露。
• etcd加密：编辑API服务器配置文件（/etc/kubernetes/manifests/kube-apiserver.yaml），启用etcd数据加密（--encryption-provider-config指定配置文件），配置AES-CBC或Secretbox加密算法，保护etcd中存储的Secrets、ConfigMaps等敏感数据。

6. 系统与集群加固：减少攻击面

• 系统基础安全：关闭CentOS不必要的服务（如telnet、ftp），使用systemctl disable命令禁用；定期运行yum update更新操作系统和Kubernetes组件（如kubelet、kube-apiserver），修复已知漏洞；设置复杂用户口令策略（如长度≥8位，包含大小写字母、数字和特殊字符）。
• Kubernetes组件配置：禁用API服务器不安全端口（--insecure-port=0），仅使用安全端口（--secure-port=6443）；限制匿名访问（--anonymous-auth=false）；启用审计日志（--audit-log-path=/var/log/kubernetes/audit.log），记录所有API调用（如create、delete），便于事后追溯。

7. 监控与响应：及时发现异常

• 日志与监控：使用Prometheus+Grafana监控集群状态（如CPU、内存、Pod重启次数），配置Alertmanager发送异常告警（如节点宕机、Pod频繁重启）；使用EFK（Elasticsearch+Fluentd+Kibana）堆栈收集和分析系统日志、API日志，快速定位安全事件。
• 安全工具集成：定期运行kube-bench工具进行Kubernetes安全基准测试（对照CIS Kubernetes Benchmark），检查配置合规性；使用Gatekeeper等OPA（Open Policy Agent）工具实施自定义安全策略（如限制命名空间数量、禁止使用hostNetwork），自动化安全策略执行。