Alibaba Cloud sécurise le plan de contrôle et l'infrastructure d'ACK ; vous sécurisez vos charges de travail et la configuration de votre cluster.
Comprenez cette limite pour identifier les tâches de sécurité qui nécessitent votre intervention.
Responsabilités d'Alibaba Cloud
Alibaba Cloud sécurise le plan de contrôle et son infrastructure sous-jacente :
Infrastructure du plan de contrôle : ressources de calcul, de stockage et réseau qui soutiennent les plans de contrôle ACK.
Durcissement du plan de contrôle : les configurations et les images sont durcies conformément aux lignes de base des fonctionnalités de sécurité, telles que le durcissement de la sécurité d'Alibaba Cloud Linux.
Notifications de vulnérabilité : lorsqu'une vulnérabilité du système d'exploitation ou de Kubernetes est détectée, Alibaba Cloud publie des avis et fournit des correctifs, des mises à jour du système d'exploitation ou des mises à jour des composants.
Outils de sécurité : Alibaba Cloud propose des fonctionnalités de protection de la sécurité et des bonnes pratiques de sécurité pour la gestion du cycle de vie des applications cloud-native.
Vos responsabilités
Vous devez sécuriser tout ce que vous déployez et configurez sur le cluster :
| Couche | Responsabilité |
|---|---|
| Système d'exploitation et runtime | Appliquez les correctifs du système d'exploitation, des composants système et du runtime de conteneur en fonction des avis d'Alibaba Cloud. |
| Configuration du cluster | Configurez les clusters ACK, les pools de nœuds et les ressources réseau en suivant les principes de sécurité. Évitez les paramètres de sécurité ou d'autorisations exploitables. |
| Contrôle d'accès | Respectez le principe du moindre privilège. N'accordez que les autorisations nécessaires aux applications, aux comptes et aux rôles lors de la gestion des identifiants, du déploiement des politiques de sécurité et de la configuration des paramètres de sécurité. |
| Chaîne d'approvisionnement | Garantissez la sécurité de la chaîne d'approvisionnement pour les artefacts d'application. |
| Sécurité des données et du runtime | Protégez les données sensibles et sécurisez l'environnement d'exécution de l'application. |
| Départ | Lorsque vous supprimez des utilisateurs RAM ou des rôles RAM pour des employés démissionnaires ou des personnes non fiables, leurs autorisations RBAC (Role-Based Access Control) dans le fichier kubeconfig ne sont pas automatiquement révoquées. Révoquez l'identifiant kubeconfig avant de supprimer l'utilisateur RAM ou le rôle RAM. Consultez Révoquer un identifiant KubeConfig. |
Limites de responsabilité par type de cluster
La limite de responsabilité varie selon le type de cluster.
Clusters managés ACK
Clusters Serverless ACK et ack-virtual-node
Avec les clusters Serverless ACK ou ack-virtual-node dans les clusters managés, Alibaba Cloud sécurise le plan de contrôle, l'infrastructure et l'Elastic Container Instance (ECI) exécutant chaque pod. Recréez les pods pour que les correctifs prennent effet.
Pools de nœuds managés dans les clusters managés ACK
Avec les pools de nœuds managés, Alibaba Cloud automatise l'application des correctifs de vulnérabilité du système d'exploitation et les mises à jour de kubelet en fonction de la configuration de votre pool de nœuds. Le Security Center fournit les correctifs du système d'exploitation. Pour les nœuds utilisant des images de système d'exploitation personnalisées, appliquez manuellement les correctifs de vulnérabilité du système d'exploitation.
