Todos os produtos
Search

Este produto

    Container Service for Kubernetes:Inspecionar workloads do cluster

    Central de documentação

    Container Service for Kubernetes:Inspecionar workloads do cluster

    Última atualização: Aug 31, 2026

    O ACK oferece o recurso de inspeção para verificar riscos de segurança nas configurações dos workloads do seu cluster. Após a execução de uma tarefa de inspeção, o sistema gera um relatório correspondente. Com esse relatório, você visualiza e trata itens de risco, além de monitorar o status de integridade dos workloads em tempo real.

    Pré-requisitos

    • O cluster deve executar o Kubernetes v1.14 ou posterior. Para atualizar seu cluster, consulte Manually update an ACK cluster.

    • Caso utilize um usuário RAM, conclua as autorizações RAM e RBAC conforme descrito nas seções a seguir.

      • Autorização RAM

        Conclua a autorização RAM na página Inspections para garantir que o usuário RAM atual tenha permissões de uso da página Inspections no cluster em questão. Sem essa etapa, as permissões serão insuficientes e os recursos da página Inspections ficarão inacessíveis. Para mais informações, consulte Grant permissions to access clusters and cloud resources by using RAM.

        Política de autorização de inspeção

        {
  "Statement": [
    {
      "Action": [
        "cs:DescribePolarisConfig",
        "cs:DescribePolarisJob",
        "cs:DescribePolarisCronJob",
        "cs:UpdatePolarisJob",
        "cs:UpdatePolarisCronJob"
      ],
      "Effect": "Allow",
      "Resource": [
        "acs:cs:*:*:cluster/<yourclusterID>"
      ]
    }
  ],
  "Version": "1"
}

        Para utilizar o recurso de relatórios de inspeção, conceda ao usuário RAM permissões de leitura no projeto especificado do Simple Log Service (SLS). Esse projeto é utilizado pelo componente de coleta de logs do seu cluster. Caso contrário, a falta de permissões impedirá a visualização dos relatórios de inspeção. Para mais informações, consulte Examples of custom RAM authorization.

        Política de autorização de logs do SLS

        {
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "log:Get*",
                "log:List*"
            ],
            "Resource": "acs:log:*:*:project/<your_project_name>/*",
            "Effect": "Allow"
        }
    ]
}

      • Autorização RBAC

        Conclua a autorização RBAC para os recursos na página Inspections a fim de conceder permissões de administrador do cluster especificado ao usuário RAM. Isso assegura que o usuário RAM tenha permissão para operar nos recursos Kubernetes disponíveis na página Inspections. Para mais informações, consulte Use RBAC to authorize operations on resources within a cluster.

    Executar uma inspeção

    1. Faça login no ACK console. No painel de navegação à esquerda, clique em Clusters.

    2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Security > Inspections.

    3. Opcional: Siga as instruções na tela para instalar ou atualizar o componente de inspeção.

      O componente security-inspector é gratuito, mas consome recursos de pod. Para mais detalhes sobre o componente e suas notas de versão, consulte security-inspector.

    4. Execute a inspeção.

      Importante

      • Recomendamos executar as inspeções fora dos horários de pico.

      • Por padrão, a inspeção verifica todos os itens suportados. No canto superior direito da página Inspections, clique em Configure Periodic Inspection para especificar quais itens devem ser verificados. Para mais informações, consulte Inspection items.

      • Para uma inspeção imediata, no canto superior direito da página Inspections, clique em Inspect.

      • Para inspeções periódicas, no canto superior direito da página Inspections, clique em Configure Periodic Inspection. Em seguida, selecione Configure Periodic Inspection e configure o período da inspeção.

    5. Após a conclusão da inspeção, na aba Inspections, localize o resultado desejado e clique em Details na coluna Actions.

    Detalhes da inspeção

    A página Inspections lista resultados detalhados para diferentes workloads. A página oferece os seguintes recursos:

    • Filtre os resultados por critérios como Passed or Failed, Namespace e Workload Type, e visualize a Number of Passed Items e os Risk Item de cada workload.

    • Consulte detalhes de cada item inspecionado, incluindo o status da verificação (aprovado ou reprovado) nos níveis de pod e contêiner, descrição detalhada e sugestões de correção. Se um item reprovado não exigir correção, adicione-o à lista de permissões.

    • Visualize o arquivo YAML de um workload.

    Relatórios de inspeção

    A página Reports exibe os resultados da inspeção mais recente. Esta página inclui as seguintes informações:

    • Visão geral dos resultados da varredura, abrangendo o total de itens inspecionados, a quantidade e porcentagem de cada tipo de recurso verificado e a pontuação geral de integridade.

    • Estatísticas das principais categorias de varredura, incluindo verificações de integridade, imagens, rede, recursos e segurança.

    • Resultados detalhados da varredura para cada configuração de workload, contendo tipo de recurso, nome do recurso, namespace, tipo de verificação, item de inspeção e resultado.

    Itens de inspeção

    O recurso de inspeção de configuração verifica e exibe resultados para os seguintes itens.

    ID da verificação

    Item de verificação

    Descrição e risco de segurança

    Correção

    hostNetworkSet

    Impedir que contêineres compartilhem o namespace de rede do host

    Verifica se hostNetwork: true está configurado na especificação do pod de um workload. Se essa configuração estiver ativada, os contêineres poderão acessar o namespace de rede do host, criando risco de ataques de rede e sniffing de dados a partir do pod.

    Modifique a especificação do pod para remover o campo hostNetwork.

    Exemplo:

          labels:
            app: nginx
        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2

    hostIPCSet

    Impedir que contêineres compartilhem o namespace IPC do host

    Verifica se hostIPC: true está configurado na especificação do pod de um workload. Se essa configuração estiver ativada, os contêineres poderão acessar o namespace IPC do host, permitindo ataques ou sniffing de dados de outros processos no host.

    Modifique a especificação do pod para remover o campo hostIPC.

    Exemplo:

          labels:
            app: nginx
        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2

    hostPIDSet

    Impedir que contêineres compartilhem o namespace PID do host

    Verifica se hostPID: true está configurado na especificação do pod de um workload. Se essa configuração estiver ativada, os contêineres poderão acessar o namespace de ID de processo (PID) do host, permitindo ataques ou coleta de dados de outros processos no host.

    Modifique a especificação do pod para remover o campo hostPID.

    Exemplo:

          labels:
            app: nginx
        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2

    hostPortSet

    Impedir que processos de contêiner escutem em portas do nó

    Verifica se hostPort está configurado na especificação do pod de um workload. Se uma porta do contêiner for mapeada para uma porta no nó host, ela poderá ocupar a porta do host e receber solicitações de fontes não intencionais.

    Modifique a especificação do pod para remover o campo hostPort.

    Exemplo:

        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2
            ports:
            - containerPort: 80

    runAsRootAllowed

    Impedir que contêineres executem como usuário root

    Verifica se runAsNonRoot: true está configurado na especificação do pod de um workload. Sem essa configuração, os contêineres executam como usuário root por padrão. Isso cria risco de processos maliciosos comprometerem suas aplicações, o host ou todo o cluster.

    Modifique a especificação do pod para adicionar runAsNonRoot: true.

    Exemplo:

        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2
            ports:
            - containerPort: 80
            securityContext:
              runAsNonRoot: true

    runAsPrivileged

    Impedir que contêineres executem em modo privilegiado

    Verifica se privileged: true está configurado na especificação do pod de um workload. Se essa configuração estiver ativada, o contêiner terá acesso root ao host. Isso representa um risco grave de processos maliciosos comprometerem suas aplicações, o host ou todo o cluster.

    Modifique a especificação do pod para remover o campo privileged.

    Exemplo:

        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2
            ports:
            - containerPort: 80
            securityContext: {}

    privilegeEscalationAllowed

    Impedir escalonamento de privilégios em contêineres

    Verifica se allowPrivilegeEscalation: false está configurado na especificação do pod de um workload. Sem essa configuração, um processo filho em um contêiner pode obter mais privilégios que seu processo pai, criando risco de ataques de escalonamento de privilégios.

    Modifique a especificação do pod para adicionar o campo allowPrivilegeEscalation: false.

    Exemplo:

            ports:
            - containerPort: 80
            securityContext:
              allowPrivilegeEscalation: false
              readOnlyRootFilesystem: true
              runAsNonRoot: true
            volumeMounts:

    capabilitiesAdded

    Remover capabilities Linux desnecessárias

    Verifica o campo capabilities na especificação do pod de um workload em busca de capabilities Linux de alto privilégio, como SYS_ADMIN, NET_ADMIN ou ALL. Se essas capabilities forem concedidas, processos maliciosos poderão usá-las para comprometer suas aplicações, componentes ou o cluster.

    Modifique a especificação do pod para adicionar apenas as capabilities Linux necessárias e remover todas as outras.

    Se nenhuma capability Linux extra for necessária, remova todas. Exemplo:

        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2
            ports:
            - containerPort: 80
            securityContext:
              capabilities:
                drop:
                - ALL

    Caso sejam necessárias capabilities específicas, adicione apenas as indispensáveis e remova as demais. Exemplo:

        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2
            ports:
            - containerPort: 80
            securityContext:
              capabilities:
                add:
                - CHOWN
                drop:
                - ALL

    notReadOnlyRootFilesystem

    Usar sistema de arquivos raiz somente leitura para contêineres

    Verifica se readOnlyRootFilesystem: true está configurado na especificação do pod de um workload. Sem essa configuração, o sistema de arquivos raiz do contêiner permite gravação, criando risco de processos maliciosos modificarem arquivos do sistema.

    Modifique a especificação do pod para adicionar readOnlyRootFilesystem: true. Se precisar gravar em um diretório específico, use volumeMounts.

    Exemplo:

        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2
            ports:
            - containerPort: 80
            securityContext:
              readOnlyRootFilesystem: true

    Para modificar arquivos em um diretório específico, utilize o campo volumeMounts.

    Exemplo:

        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2
            ports:
            - containerPort: 80
            securityContext:
              readOnlyRootFilesystem: true
              runAsNonRoot: true
            volumeMounts:
            - mountPath: /path/to/write
              name: writeable
          volumes:
          - emptyDir: {}
            name: writeable

    cpuRequestsMissing

    Definir solicitações de CPU para contêineres

    Verifica se resources.requests.cpu está configurado na especificação do pod de um workload. Sem essa definição, pods podem ser agendados em nós com recursos de CPU insuficientes, causando lentidão no desempenho.

    Modifique a especificação do pod para adicionar o campo resources.requests.cpu.

    Exemplo:

        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2
            resources:
              requests:
                cpu: 100m

    cpuLimitsMissing

    Definir limites de CPU para contêineres

    Verifica se resources.limits.cpu está configurado na especificação do pod de um workload. Sem essa definição, processos anormais em um contêiner podem consumir recursos excessivos do nó, esgotando potencialmente a CPU do nó ou de todo o cluster.

    Modifique a especificação do pod para adicionar o campo resources.limits.cpu.

    Exemplo:

        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2
            resources:
              requests:
                cpu: 100m
              limits:
                cpu: 100m

    memoryRequestsMissing

    Definir solicitações de memória para contêineres

    Verifica se resources.requests.memory está configurado na especificação do pod de um workload. Sem essa definição, pods podem ser agendados em nós com memória insuficiente, resultando em erros de falta de memória (OOM).

    Modifique a especificação do pod para adicionar o campo resources.requests.memory.

    Exemplo:

        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2
            resources:
              requests:
                cpu: 100m
                memory: 128Mi

    memoryLimitsMissing

    Definir limites de memória para contêineres

    Verifica se resources.limits.memory está configurado na especificação do pod de um workload. Sem essa definição, processos anormais em um contêiner podem consumir recursos excessivos do nó, esgotando potencialmente a memória do nó ou de todo o cluster.

    Modifique a especificação do pod para adicionar o campo resources.limits.memory.

    Exemplo:

        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2
            resources:
              requests:
                cpu: 100m
                memory: 128Mi
              limits:
                cpu: 100m
                memory: 128Mi

    readinessProbeMissing

    Configurar sondas de prontidão para contêineres

    Verifica se uma readinessProbe está configurada na especificação do pod de um workload. Sem uma sonda de prontidão, o tráfego pode ser enviado a um contêiner antes que ele esteja pronto para atender solicitações, causando erros na aplicação.

    Modifique a especificação do pod para adicionar o campo readinessProbe.

    Exemplo:

        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2
            readinessProbe:
              httpGet:
                path: /health
                port: 8080
              initialDelaySeconds: 5
              periodSeconds: 20

    livenessProbeMissing

    Configurar sondas de atividade para contêineres

    Verifica se uma livenessProbe está configurada na especificação do pod de um workload. Sem uma sonda de atividade, um contêiner que pare de responder não será reiniciado automaticamente, podendo causar indisponibilidade da aplicação.

    Modifique a especificação do pod para adicionar o campo livenessProbe.

    Exemplo:

        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2
            livenessProbe:
              httpGet:
                path: /health
                port: 8080
              initialDelaySeconds: 5
              periodSeconds: 20

    tagNotSpecified

    Usar uma tag de imagem específica para contêineres

    Verifica se o campo image na especificação do pod de um workload não possui uma tag de imagem ou utiliza a tag latest. Sem uma tag específica, o workload pode executar uma versão inesperada da imagem do contêiner, causando erros na aplicação.

    Modifique o campo image na especificação do pod para usar uma tag de imagem específica. Não utilize a tag latest.

    Exemplo:

        spec:
          containers:
          - name: nginx
            image: nginx:1.14.2

    anonymousUserRBACBinding

    Proibir acesso de usuários anônimos ao cluster

    Verifica as vinculações de Controle de Acesso Baseado em Função (RBAC) no cluster para identificar configurações que concedam acesso a usuários anônimos. Se o acesso anônimo for permitido, usuários mal-intencionados poderão roubar informações sensíveis ou atacar o cluster.

    Modifique as vinculações RBAC para remover quaisquer permissões que permitam a usuários anônimos acessar recursos do cluster.

    Exemplo:

      - apiGroup: rbac.authorization.k8s.io
    kind: Group
    name: 'foo-group'

    Eventos

    Tipo de evento

    Nome do evento

    Exemplo de conteúdo

    Descrição

    Ações

    Normal

    SecurityInspectorConfigAuditStart

    Starting config audit

    A tarefa de inspeção foi iniciada.

    Nenhuma ação necessária.

    Normal

    SecurityInspectorConfigAuditFinished

    Config audit finished

    A tarefa de inspeção foi concluída.

    Nenhuma ação necessária.

    Warning

    SecurityInspectorConfigAuditHighRiskFound

    Found 2 high-risk items after config audit

    Após a inspeção, foram encontrados itens de alto risco não mitigados em alguns workloads.

    1. Na página Inspections do cluster, acesse a aba Inspections para visualizar os resultados detalhados da inspeção.

    2. Filtre os resultados por Passed or Failed, Namespace e Workload Type para identificar os workloads em risco.

    3. Clique em Details em um workload para ver os resultados de cada item inspecionado.

      • Para itens que você confirmar não precisarem de correção, clique em Add to Whitelist.

      • Para itens que exigem correção, clique em Details e siga a sugestão de correção apresentada.