Kubernetes automatyzuje wdrażanie i skalowanie kontenerów, co koncentruje zarówno zarządzanie, jak i ryzyko w płaszczyźnie sterowania: serwerze API, magazynie danych etcd, schedulerze i agentach węzłów. Bezpieczeństwo obejmuje wzmacnianie klastra, RBAC, polityki sieciowe, sekrety, kontrolę admisji, pochodzenie obrazów, izolację podów i leżące pod spodem węzły.
Najważniejsze punkty
Ochrona płaszczyzny sterowaniaOgraniczaj dostęp do API, wymuszaj RBAC i polityki admisji, szyfruj etcd oraz trzymaj dashboard i punkty końcowe zarządzania z dala od sieci publicznych.
Ograniczenia podówUżywaj kont usług o minimalnych uprawnieniach, polityk sieciowych, ograniczonych standardów bezpieczeństwa podów oraz minimalnych lub tylko-odczytowych uprawnień kontenerów.
Istotne ograniczenieDomyślne ustawienia Kubernetesa priorytetyzują działanie, a nie izolację — domyślny klaster jest szeroko permisywny. Bezpieczeństwo wykracza też poza platformę: podatne obrazy, kompromitacja łańcucha dostaw i eksponowane usługi węzłów całkowicie omijają kontrole klastra.