课程大纲

介绍

集群设置

  • 使用网络安全策略限制集群级别访问
  • 使用 CIS 基准审查 Kubernetes 组件(etcd、kubelet、kubedns、kubeapi)的安全配置
  • 正确设置具有安全控制的 Ingress 对象
  • 保护节点元数据和端点
  • 尽量减少 GUI 元素的使用和访问
  • 在部署前验证平台二进制文件

集群加固

  • 限制对 Kubernetes API 的访问
  • 使用基于角色的访问控制(RBAC)最小化暴露
  • 谨慎使用服务账户,例如禁用默认账户,最小化新创建账户的权限
  • 频繁更新 Kubernetes

系统加固

  • 最小化主机操作系统占用(减少攻击面)
  • 最小化 IAM 角色
  • 最小化外部网络访问
  • 适当使用内核加固工具,如 AppArmor、seccomp

最小化微服务漏洞

  • 设置适当的操作系统级别安全域,例如使用 PSP、OPA、安全上下文
  • 管理 Kubernetes 密钥
  • 在多租户环境中使用容器运行时沙箱(如 gvisor、kata 容器)
  • 通过使用 mTLS 实现 Pod 到 Pod 的加密

供应链安全

  • 最小化基础镜像占用
  • 保护供应链:白名单允许的镜像仓库,签名和验证镜像
  • 使用静态分析用户工作负载(如 Kubernetes 资源、Docker 文件)
  • 扫描镜像以查找已知漏洞

监控、日志和运行时安全

  • 在主机和容器级别对系统调用、进程和文件活动进行行为分析,以检测恶意活动
  • 检测物理基础设施、应用、网络、数据、用户和工作负载中的威胁
  • 检测所有攻击阶段,无论其发生在何处以及如何传播
  • 进行深入分析调查,识别环境中的恶意行为者
  • 确保容器在运行时不可变
  • 使用审计日志监控访问

总结与结论

要求

  • CKA (Certified Kubernates Administrator) 认证

受众

  • Kubernetes 从业者
 21 小时

客户评论 (5)

即将举行的公开课程

课程分类