Dalam arsitektur kluster terkelola Container Service for Kubernetes (ACK), kepatuhan keamanan mengikuti prinsip tanggung jawab bersama. ACK bertanggung jawab atas keamanan sumber daya infrastruktur tempat kluster diterapkan, serta komponen bidang kontrol dan etcd. Topik ini menjelaskan model tanggung jawab bersama dalam ACK.
Tanggung Jawab Alibaba Cloud
Alibaba Cloud memastikan keamanan sumber daya infrastruktur yang digunakan oleh bidang kontrol, termasuk komputasi, penyimpanan, dan jaringan di cloud, melalui kemampuan keamanan platform yang komprehensif. Selain itu, Alibaba Cloud meningkatkan konfigurasi keamanan komponen bidang kontrol dan citra OS berdasarkan garis dasar keamanan yang ditentukan oleh fitur perlindungan seperti Pengerasan Keamanan Alibaba Cloud Linux. Ketika kerentanan pada OS atau komponen Kubernetes ditemukan, Alibaba Cloud segera merilis pemberitahuan kerentanan beserta patch, versi OS baru, atau versi komponen baru untuk memperbaiki masalah tersebut. Untuk memenuhi persyaratan perlindungan keamanan dalam skenario manajemen siklus hidup aplikasi cloud-native kelas perusahaan, Alibaba Cloud menyediakan fitur perlindungan keamanan dan praktik terbaik keamanan.
Tanggung Jawab Pelanggan
Insinyur O&M keamanan pelanggan bertanggung jawab atas implementasi perlindungan keamanan aplikasi yang diterapkan di cloud, serta konfigurasi dan pembaruan pengaturan keamanan sumber daya cloud. Operasi berikut harus dilakukan:
Perbaiki kerentanan terkait sistem operasi, komponen sistem, dan runtime kontainer berdasarkan catatan rilis, patch kerentanan, atau pembaruan versi yang disediakan oleh Alibaba Cloud.
Konfigurasikan pengaturan keamanan kluster ACK, pool node, dan sumber daya jaringan sesuai prinsip keamanan. Hindari konfigurasi parameter keamanan atau izin yang dapat dieksploitasi oleh penyerang.
Terapkan prinsip hak istimewa minimal dengan memberikan hanya izin yang diperlukan kepada aplikasi, akun, atau peran untuk mengelola kredensial, menerapkan kebijakan keamanan, dan mengonfigurasi parameter keamanan.
Pastikan keamanan rantai pasokan untuk artefak aplikasi.
Jaga keamanan data sensitif dan lingkungan waktu proses aplikasi.
Untuk karyawan yang telah mengundurkan diri atau individu tidak tepercaya, ketika Anda menghapus pengguna RAM atau Peran RAM mereka, izin Role-Based Access Control (RBAC) yang ada di file kubeconfig tidak akan dicabut secara otomatis. Oleh karena itu, sebelum menghapus pengguna RAM atau Peran RAM, pastikan untuk mencabut file kubeconfig mereka. Untuk informasi lebih lanjut, lihat Cabut Kredensial KubeConfig.
Memahami Model Tanggung Jawab Bersama
Sebelum merancang dan menerapkan sistem bisnis Anda, penting untuk memahami model tanggung jawab bersama serta batas tanggung jawab antara Alibaba Cloud dan perusahaan Anda.
Gambar berikut mengilustrasikan model tanggung jawab bersama yang berlaku dalam kluster terkelola ACK.
Saat menggunakan kluster ACK Serverless atau menerapkan ack-virtual-node dalam kluster terkelola ACK, Alibaba Cloud memastikan keamanan komponen bidang kontrol, infrastruktur, dan Elastic Container Instance (ECI) tempat pod berjalan. Pengguna bertanggung jawab atas rekreasi pod agar patching dapat berlaku. Gambar berikut menunjukkan model tanggung jawab bersama yang digunakan untuk memastikan keamanan kluster ACK Serverless atau ack-virtual-node yang diterapkan dalam kluster terkelola ACK.
Jika kluster Anda menggunakan pool node terkelola, Alibaba Cloud dapat mengotomatiskan pembaruan patch kerentanan OS dan versi kubelet berdasarkan konfigurasi pool node terkelola. Patch OS disediakan oleh Security Center. Jika Anda menggunakan citra OS kustom untuk menerapkan node di kluster Anda, kerentanan OS hanya dapat diperbaiki secara manual. Gambar berikut menggambarkan model tanggung jawab bersama yang berlaku ketika pool node terkelola dibuat di kluster terkelola ACK.