Todos os produtos
Search

Este produto

    Container Service for Kubernetes:Configure a inspeção de configuração para verificar riscos de segurança das cargas de trabalho em um cluster registrado

    Central de documentação

    Container Service for Kubernetes:Configure a inspeção de configuração para verificar riscos de segurança das cargas de trabalho em um cluster registrado

    Última atualização: Oct 30, 2026

    O Container Service for Kubernetes (ACK) oferece um recurso de inspeção de configuração que analisa as cargas de trabalho do cluster em busca de riscos de segurança na configuração. Após a execução de uma inspeção, o sistema gera um relatório para ajudar você a visualizar e corrigir itens de risco e monitorar a integridade das cargas de trabalho em tempo real.

    Pré-requisitos

    Executar uma inspeção

    1. Faça logon no ACK console. No painel de navegação à esquerda, clique em Clusters.

    2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Security > Inspections.

    3. Opcional: Siga as instruções na tela para instalar e atualizar o complemento de inspeção.

      O complemento security-inspector é gratuito, mas consome recursos de pods. Para mais informações sobre o complemento e suas notas de versão, consulte Security inspector.

    4. Execute uma inspeção.

      Importante

      • Execute as inspeções em horários de menor movimento.

      • Por padrão, uma inspeção verifica todos os itens de inspeção suportados. No canto superior direito da página Inspections, clique em Configure Periodic Inspection e especifique os itens de inspeção a serem executados. Para mais informações, consulte Itens de inspeção.

      • Executar uma inspeção imediatamente: no canto superior direito da página Inspections, clique em Inspect.

      • Executar inspeções periódicas: no canto superior direito da página Inspections, clique em Configure Periodic Inspection, selecione Configure Periodic Inspection e configure o período de inspeção.

    5. Após a conclusão da inspeção, na aba Inspections, localize o resultado de inspeção que deseja visualizar. Na coluna Actions, clique em Details para visualizar os resultados da verificação.

    Detalhes da inspeção

    A página Inspections apresenta os resultados detalhados da inspeção de diferentes cargas de trabalho em tabelas. A página oferece os seguintes recursos:

    • Filtre os resultados por critérios como Passed or Failed, Namespace e Workload Type, e visualize a Number of Passed Items e a contagem de Risk Item para cada carga de trabalho.

    • Visualize os detalhes de cada item de inspeção, incluindo o status de verificação no nível do pod e do container (aprovado ou reprovado), uma descrição detalhada do item e sugestões de reforço. Se um item reprovado não precisar ser corrigido, adicione-o à lista de exceções.

    • Visualize o arquivo YAML de uma carga de trabalho.

    Itens de inspeção

    O recurso de inspeção de configuração analisa e exibe os resultados dos seguintes itens de inspeção.

    ID do item de inspeção

    Item de inspeção

    Descrição e risco de segurança

    Correção

    hostNetworkSet

    Impedir que containers compartilhem o namespace de rede do host

    Verifica se hostNetwork: true está configurado na especificação do pod de uma carga de trabalho, o que significa que o pod compartilha o namespace de rede do host. Se essa configuração estiver ativada, os containers no pod podem atacar a rede do host e interceptar dados da rede do host.

    Modifique a especificação do pod para remover o campo hostNetwork.

    Exemplo:

          labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx:1.14.2

    hostIPCSet

    Impedir que containers compartilhem o namespace IPC do host

    Verifica se hostIPC: true está configurado na especificação do pod de uma carga de trabalho, o que significa que o pod compartilha o namespace IPC do host. Se essa configuração estiver ativada, os containers no pod podem atacar processos no host e interceptar seus dados.

    Modifique a especificação do pod para remover o campo hostIPC.

    Exemplo:

          labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx:1.14.2

    hostPIDSet

    Impedir que containers compartilhem o namespace PID do host

    Verifica se hostPID: true está configurado na especificação do pod de uma carga de trabalho, o que significa que o pod compartilha o namespace PID do host. Se essa configuração estiver ativada, os containers no pod podem atacar processos no host e coletar seus dados.

    Modifique a especificação do pod para remover o campo hostPID.

    Exemplo:

          labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx:1.14.2

    hostPortSet

    Impedir que processos do container escutem em portas do host no nó

    Verifica se hostPort está configurado na especificação do pod de uma carga de trabalho, o que mapeia uma porta escutada pelo container para uma porta especificada no host. Se essa configuração estiver ativada, o container pode ocupar portas disponíveis no host e receber requisições de clientes não intencionais.

    Modifique a especificação do pod para remover o campo hostPort.

    Exemplo:

        spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        ports:
        - containerPort: 80

    runAsRootAllowed

    Impedir que containers sejam executados como usuário root

    Verifica se runAsNonRoot: true está ausente na especificação do pod de uma carga de trabalho. Isso significa que os containers não são obrigados a ser executados como usuário não root. Se essa configuração estiver ausente, processos maliciosos em um container podem comprometer suas aplicações, o host ou até mesmo todo o cluster.

    Modifique a especificação do pod para adicionar runAsNonRoot: true.

    Exemplo:

        spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        ports:
        - containerPort: 80
        securityContext:
          runAsNonRoot: true

    runAsPrivileged

    Impedir que containers sejam executados em modo privilegiado

    Verifica se privileged: true está configurado na especificação do pod de uma carga de trabalho, o que permite que os containers sejam executados em modo privilegiado. Se essa configuração estiver ativada, processos maliciosos em um container podem comprometer suas aplicações, o host ou até mesmo o cluster.

    Modifique a especificação do pod para remover o campo privileged.

    Exemplo:

        spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        ports:
        - containerPort: 80
        securityContext: {}

    privilegeEscalationAllowed

    Impedir que processos filhos em um container obtenham privilégios elevados

    Verifica se allowPrivilegeEscalation: false está ausente na especificação do pod de uma carga de trabalho. Nesse caso, um processo filho em um container pode obter mais privilégios do que seu processo pai sem impedimento. Se essa configuração estiver ausente, processos maliciosos em um container podem obter acesso com privilégios excessivos.

    Modifique a especificação do pod para adicionar o campo allowPrivilegeEscalation：false.

    Exemplo:

            ports:
        - containerPort: 80
        securityContext:
          allowPrivilegeEscalation: false
          readOnlyRootFilesystem: true
          runAsNonRoot: true
        volumeMounts:

    capabilitiesAdded

    Remover capabilities do Linux desnecessárias

    Analisa o campo capabilities na especificação do pod de uma carga de trabalho em busca de capabilities privilegiadas do Linux, como SYS_ADMIN, NET_ADMIN e ALL, concedidas aos processos no container. Se essas capabilities forem concedidas, processos maliciosos em um container podem usá-las para comprometer suas aplicações ou atacar e danificar complementos e o cluster.

    Modifique a especificação do pod para adicionar apenas as capabilities do Linux que suas cargas de trabalho exigem e remover as desnecessárias.

    Se nenhuma capability adicional do Linux for necessária, remova todas. Exemplo:

        spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        ports:
        - containerPort: 80
        securityContext:
          capabilities:
            drop:
            - ALL

    Se capabilities específicas forem necessárias, adicione apenas as necessárias e remova todas as outras. Exemplo:

        spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        ports:
        - containerPort: 80
        securityContext:
          capabilities:
            add:
            - CHOWN
            drop:
            - ALL

    notReadOnlyRootFileSystem

    Tornar o sistema de arquivos do container somente leitura

    Verifica se readOnlyRootFilesystem: true está ausente na especificação do pod de uma carga de trabalho, o que significa que o sistema de arquivos no container é gravável. Se essa configuração estiver ausente, processos maliciosos em um container podem modificar arquivos do sistema.

    Modifique a especificação do pod para adicionar readOnlyRootFilesystem: true. Se precisar modificar arquivos em um diretório específico, use volumeMounts.

    Exemplo:

        spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        ports:
        - containerPort: 80
        securityContext:
          readOnlyRootFilesystem: true

    Para modificar arquivos em um diretório específico, use o campo volumeMounts.

    Exemplo:

        spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        ports:
        - containerPort: 80
        securityContext:
          readOnlyRootFilesystem: true
          runAsNonRoot: true
        volumeMounts:
        - mountPath: /path/to/write
          name: writeable
      volumes:
      - emptyDir: {}
        name: writeable

    cpuRequestsMissing

    Definir os recursos mínimos de CPU necessários para executar containers

    Verifica se resources.requests.cpu está ausente na especificação do pod de uma carga de trabalho, o que significa que os recursos mínimos de CPU necessários para executar o container não estão definidos. Se esse campo estiver ausente, o pod pode ser agendado em um nó com recursos insuficientes, e os processos no container podem apresentar lentidão.

    Modifique a especificação do pod para adicionar o campo resources.requests.cpu.

    Exemplo:

        spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        resources:
          requests:
            cpu: 100m

    cpuLimitsMissing

    Limitar os recursos máximos de CPU que os containers podem usar

    Verifica se resources.limits.cpu está ausente na especificação do pod de uma carga de trabalho, o que significa que os recursos máximos de CPU para o container não estão definidos. Se esse campo estiver ausente, processos anormais em um container podem consumir uma grande quantidade de recursos do nó e esgotar os recursos de todo o nó ou cluster.

    Modifique a especificação do pod para adicionar o campo resources.limits.cpu.

    Exemplo:

        spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        resources:
          requests:
            cpu: 100m
          limits:
            cpu: 100m

    memoryRequestsMissing

    Definir os recursos mínimos de memória necessários para executar containers

    Verifica se resources.requests.memory está ausente na especificação do pod de uma carga de trabalho, o que significa que os recursos mínimos de memória necessários para executar o container não estão definidos. Se esse campo estiver ausente, o pod pode ser agendado em um nó com recursos insuficientes, e os processos no container podem apresentar erros de falta de memória (OOM).

    Modifique a especificação do pod para adicionar o campo resources.requests.memory.

    Exemplo:

        spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        resources:
          requests:
            cpu: 100m
            memory: 128Mi

    memoryLimitsMissing

    Limitar os recursos máximos de memória que os containers podem usar

    Verifica se resources.limits.memory está ausente na especificação do pod de uma carga de trabalho, o que significa que os recursos máximos de memória para o container não estão definidos. Se esse campo estiver ausente, processos anormais em um container podem consumir uma grande quantidade de recursos do nó e esgotar os recursos de todo o nó ou cluster.

    Modifique a especificação do pod para adicionar o campo resources.limits.memory.

    Exemplo:

        spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        resources:
          requests:
            cpu: 100m
            memory: 128Mi
          limits:
            cpu: 100m
            memory: 128Mi

    readinessProbeMissing

    Configurar sondas de prontidão para containers

    Verifica se readinessProbe está ausente na especificação do pod de uma carga de trabalho, o que significa que nenhuma sonda está configurada para detectar se a aplicação no container pode processar requisições. Se esse campo estiver ausente, as requisições podem continuar sendo enviadas para a aplicação quando ela não estiver íntegra e não puder atendê-las, o que causa interrupção nos negócios.

    Modifique a especificação do pod para adicionar o campo readinessProbe.

    Exemplo:

        spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        readinessProbe:
          httpGet:
            path: /health
            port: 8080
          initialDelaySeconds: 5
          periodSeconds: 20

    livenessProbeMissing

    Configurar sondas de atividade para containers

    Verifica se livenessProbe está ausente na especificação do pod de uma carga de trabalho, o que significa que nenhuma sonda está configurada para detectar se a aplicação no container está com problemas e precisa ser reiniciada. Se esse campo estiver ausente, o container não é reiniciado a tempo quando uma reinicialização é necessária para recuperação, o que causa interrupção nos negócios.

    Modifique a especificação do pod para adicionar o campo livenessProbe.

    Exemplo:

        spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        livenessProbe:
          httpGet:
            path: /health
            port: 8080
          initialDelaySeconds: 5
          periodSeconds: 20

    tagNotSpecified

    Usar uma versão explícita da imagem para containers

    Verifica se o campo image na especificação do pod de uma carga de trabalho não possui tag de imagem ou usa latest como tag, o que significa que o container não executa uma imagem com uma tag especificada. Se a tag não for especificada, a carga de trabalho pode executar uma versão inesperada da imagem, o que causa interrupção nos negócios.

    Modifique a especificação do pod e altere o campo image para usar uma tag de imagem especificada. Não use latest como tag da imagem.

    Exemplo:

        spec:
      containers:
      - name: nginx
        image: nginx:1.14.2

    anonymousUserRBACBinding

    Impedir que usuários anônimos acessem o cluster

    Analisa as vinculações do controle de acesso baseado em função (RBAC) no cluster em busca de configurações que concedam permissões de acesso a usuários anônimos. Se uma configuração permitir que usuários anônimos acessem recursos do cluster, um usuário anônimo malicioso pode exfiltrar informações sensíveis do cluster e atacar ou invadir o cluster.

    Modifique as vinculações RBAC retornadas pela verificação e remova as configurações de permissão que permitem o acesso de usuários anônimos aos recursos do cluster, de acordo com os requisitos do seu negócio.

    Exemplo:

      - apiGroup: rbac.authorization.k8s.io
    kind: Group
    name: 'foo-group'

    Referências