Container Service for Kubernetes:Ikhtisar arsitektur keamanan

Pemeriksaan keamanan

ACK memindai konfigurasi workload yang sedang berjalan secara real time untuk mendeteksi pelanggaran prinsip least-privilege — titik masuk paling umum untuk container escapes.

Hasil pemeriksaan muncul di Logstore Simple Log Service (SLS) yang ditentukan sebagai laporan dengan deskripsi per item dan saran perbaikan. Jadwalkan pemeriksaan berkala untuk mempertahankan visibilitas. Lihat Gunakan pemeriksaan konfigurasi untuk memeriksa risiko keamanan pada workload kluster.

Manajemen kebijakan

ACK mengintegrasikan Gatekeeper, sebuah admission controller yang dibangun di atas Open Policy Agent (OPA), untuk memblokir workload yang tidak sesuai saat penerapan — sebelum mencapai kluster Anda.

Kemampuan utama:

• Pustaka bawaan berisi aturan kebijakan spesifik Kubernetes yang mencakup skenario keamanan umum

• Konfigurasi kebijakan visual di Konsol ACK, tanpa perlu mengetahui bahasa kebijakan OPA

• Statistik tata kelola kebijakan dan pengambilan log untuk audit

Manajemen kebijakan ACK secara otomatis memblokir workload yang tidak sesuai saat penerapan, meningkatkan garis dasar keamanan runtime aplikasi kluster, serta mengurangi beban komunikasi dan pembelajaran antara tim pengembangan dan operasi.

Lihat Konfigurasi kebijakan keamanan kontainer (baru) .

Pemantauan dan peringatan runtime

Kontrol admission saja tidak cukup — pendekatan zero trust menuntut pemantauan runtime berkelanjutan. ACK terintegrasi dengan Security Center untuk mendeteksi ancaman tingkat kontainer.

Ancaman yang terdeteksi:

• Startup image berbahaya

• Virus dan program berbahaya

• Intrusi internal dalam kontainer

• Container escapes dan operasi berisiko tinggi

Lihat dan handle peringatan di halaman Security > Security Monitoring. Untuk informasi selengkapnya, lihat Menggunakan pemantauan keamanan.

Model isolasi

Saat kebutuhan isolasi workload melebihi keamanan standar Pod Kubernetes, ACK menyediakan dua opsi yang lebih kuat:

• Untuk sandboxed containers, lihat Sandboxed Container.

• Untuk ACK-TEE, lihat Komputasi rahasia ACK-TEE.

Build: pemindaian image

Container Registry memindai image kontainer berbasis Linux terhadap kerentanan yang diketahui, dilengkapi penilaian tingkat keparahan dan saran perbaikan. Mesin ini, yang didukung oleh Security Center, juga mendeteksi kerentanan sistem, kerentanan aplikasi, dan sampel berbahaya dalam image.

Registri: penandatanganan image

Gunakan penandatanganan image untuk memastikan hanya image tepercaya yang mencapai kluster Anda. Pembuat menandatangani image secara digital; tanda tangan disimpan di Container Registry. Saat penerapan, ACK memverifikasi tanda tangan sebelum menjalankan kontainer — memblokir image yang dimodifikasi atau tidak diharapkan.

Lihat Gunakan komponen kritis-validation-hook untuk secara otomatis memverifikasi tanda tangan image kontainer.

Penerapan: rantai distribusi

Rantai distribusi Container Registry memungkinkan Anda menentukan pipeline aman otomatis end-to-end. Konfigurasikan tugas seperti pembuatan image, pemindaian, sinkronisasi global, dan penerapan — dengan kebijakan keamanan detail halus di setiap tahap.

Satu commit memicu distribusi aman di beberapa wilayah, meningkatkan pipeline Anda dari DevOps menjadi DevSecOps. Lihat Buat rantai distribusi.

Keamanan default

Setiap kluster ACK baru diperkuat keamanannya saat pembuatan:

• Penguatan node dan control plane: Konfigurasi mengikuti standar penguatan keamanan Kubernetes Alibaba Cloud. Semua image komponen sistem bebas dari kerentanan CVE tingkat kritis.

• Isolasi jaringan: Setiap kluster mendapatkan security group khusus yang hanya mengizinkan inbound ICMP dari Internet. Akses SSH dari Internet dinonaktifkan secara default. Node mengakses jaringan publik melalui NAT Gateway.

• Peran node berprinsip least-privilege: RAM role yang disambungkan ke node pekerja di kluster terkelola memiliki izin minimum yang diperlukan. Lihat [Perubahan Produk] Pengumuman tentang konvergensi izin RAM role untuk node kluster terkelola.

Untuk mengaktifkan akses SSH, lihat Hubungkan ke node master kluster khusus ACK menggunakan SSH.

Manajemen identitas

Seluruh komunikasi antar komponen kluster dilindungi oleh TLS, dengan perpanjangan sertifikat otomatis yang ditangani oleh control plane ACK.

Pengguna RAM dan role memperoleh kredensial kubeconfig melalui Konsol atau OpenAPI untuk terhubung ke API server kluster. ACK melacak identitas dalam kredensial yang diterbitkan — jika kubeconfig dikompromikan, segera cabut aksesnya.

• Dapatkan kubeconfig kluster

• Cabut kredensial kubeconfig kluster

ACK mendukung Service Account Token Volume Projection untuk memperkuat keamanan ServiceAccount. Lihat Terapkan service account token volume projection.

Kontrol akses detail halus

ACK menerapkan Role-Based Access Control (RBAC) di tingkat namespace, yang dapat dikonfigurasi dari halaman Authorization management di Konsol ACK.

Fitur utama:

• Templat peran bawaan: Templat RBAC bawaan untuk peran administrator, insinyur O&M, dan developer menyederhanakan penyiapan izin.

• Otorisasi batch: Berikan otorisasi kepada beberapa pengguna RAM di beberapa kluster dalam satu operasi.

• Dukungan RAM role: Berikan akses kepada pengguna yang mengasumsikan RAM role.

• ClusterRole kustom: Ikat ClusterRole apa pun yang didefinisikan di kluster ke pengguna.

Lihat Konfigurasi peran RBAC untuk pengguna RAM atau RAM role.

Untuk kontrol akses berbasis kebijakan, instal komponen Gatekeeper melalui manajemen komponen untuk menerapkan aturan OPA di seluruh kluster.

Audit

ACK terintegrasi dengan SLS untuk mengumpulkan, mengkueri, dan memvisualisasikan tiga jenis log audit:

Referensi:

• Gunakan fitur audit API server kluster

• Kumpulkan dan analisis log akses NGINX Ingress

• Pemantauan event

Enkripsi Secret saat diam

Secret Kubernetes secara default di-encode Base64 di etcd — tidak dienkripsi. Di kluster ACK Pro, gunakan kunci Key Management Service (KMS) untuk mengenkripsi Secret saat diam, melindungi data sensitif di etcd.

Lihat Gunakan Alibaba Cloud KMS untuk mengenkripsi Secret saat diam.