Container Compute Service:Visão geral do sistema de segurança

Gerenciamento de políticas

O ACS gerencia políticas por meio do controlador de admissão Gatekeeper, que utiliza políticas do Open Policy Agent (OPA). O service inclui quatro bibliotecas de regras predefinidas: Compliance, Infra, K8s-general e PSP. Ative ou personalize políticas de segurança no console para validar a segurança das solicitações de criação e atualização de Pods e bloquear automaticamente workloads não conformes durante a implantação.

Para mais informações, consulte Configure container security policies. Para obter detalhes sobre cada biblioteca de regras, consulte Predefined security policies of ACS.

Políticas de rede

O ACS oferece controle de acesso à rede no nível de política com base na NetworkPolicy do Kubernetes. Restrinja o tráfego de entrada e saída dos Pods no nível de endereço IP ou porta para permitir apenas os caminhos de acesso necessários aos seus workloads. Essa medida reduz a superfície de movimento lateral dentro do cluster.

Após ativar as políticas de rede, configure regras para aplicações específicas no console ou usando kubectl. Para mais informações, consulte Use network policies in ACS clusters.

Containers seguros (sandbox seguro)

O sandbox seguro é um runtime de container alternativo que executa workloads dentro de uma máquina virtual leve com kernel independente. Essa arquitetura proporciona isolamento de segurança mais robusto do que os containers padrão, sendo ideal para isolar aplicações não confiáveis, falhas, desempenho e separar workloads multilocatários. O sandbox seguro apresenta sobrecarga mínima de desempenho e oferece a mesma experiência operacional dos containers docker, incluindo logging, monitoramento e Auto Scaling.

Inspeção de segurança

Os desenvolvedores de aplicações devem seguir o princípio do menor privilégio ao configurar modelos de implantação, pois invasores frequentemente exploram privilégios desnecessários concedidos a um Pod para escapar do container. O ACS inspeciona a configuração de segurança das aplicações em execução para identificar riscos de configuração em tempo real.

Os resultados da inspeção são apresentados como relatórios que explicam cada item verificado e fornecem sugestões de correção. Também é possível agendar inspeções periódicas e armazenar os resultados em um Logstore do Simple Log Service (SLS). Para mais informações, consulte security-inspector.

Assinatura de imagens

O Container Registry suporta um mecanismo de confiança de conteúdo que permite aos criadores aplicar uma assinatura digital a cada imagem. Antes da implantação, o ACS verifica as assinaturas para garantir a execução apenas de imagens confiáveis no cluster. Isso impede a entrada de código inesperado ou malicioso no ambiente e torna as imagens da aplicação rastreáveis durante todo o processo de implantação.

Varredura de imagens

O Container Registry verifica todas as imagens de container baseadas em Linux em busca de vulnerabilidades conhecidas. O service fornece avaliações e sugestões de correção para reduzir riscos de segurança. O mecanismo integrado de varredura de segurança na nuvem identifica vulnerabilidades do sistema, vulnerabilidades de aplicações e amostras maliciosas nas imagens.

Cadeias de entrega de aplicações cloud-native (DevSecOps)

O Container Registry disponibiliza uma cadeia de entrega de aplicações cloud-native para distribuir containers com segurança e eficiência. Configure a compilação, a varredura, a sincronização global e a implantação de imagens, além de definir políticas de segurança granulares para alcançar uma entrega completa, observável e rastreável. O código enviado uma única vez é distribuído com segurança e implantado eficientemente em várias regiões, elevando seu pipeline de DevOps para DevSecOps. Para mais informações, consulte Create a delivery chain.

Segurança padrão

O ACS aplica hardening nos nós do cluster e nos componentes do plano de controle conforme os CIS Kubernetes Benchmarks. Todos os componentes do sistema passam por hardening seguindo as melhores práticas de segurança de containers. Isso garante que as imagens dos componentes do sistema não contenham vulnerabilidades críticas do Common Vulnerabilities and Exposures (CVE).

Os nós worker de clusters gerenciados operam sob o princípio do menor privilégio. Usuários do Resource Access Management (RAM) recebem apenas as permissões mínimas necessárias para acessar outros recursos da cloud. Para mais informações, consulte Authorization best practices.

Gerenciamento de identidade

Toda comunicação entre os componentes do cluster ACS exige verificação de certificado TLS, protegendo a transmissão de dados em todo o cluster. O ACS renova automaticamente os certificados dos componentes do sistema. Usuários e funções do RAM podem obter um arquivo kubeconfig para se conectar ao servidor de API do cluster pelo console ou pela OpenAPI. Para operações específicas, consulte Obtain cluster KubeConfig and connect to the cluster using kubectl. O ACS mantém as informações de identidade nas credenciais de acesso e pode revogá-las quando necessário. Para operações específicas, consulte Revoke a cluster kubeconfig file.

Controle de acesso granular

O ACS implementa o controle de acesso a recursos do Kubernetes usando Role-Based Access Control (RBAC), uma medida fundamental de hardening para a segurança de aplicações. A página Authorizations no console fornece autorização RBAC granular no nível de namespace, incluindo:

• Modelos de permissão RBAC: modelos predefinidos para funções de administrador, operações e desenvolvedor com base em diferentes requisitos de permissão.

• Autorização em lote: suporte para autorização em lote em vários clusters e múltiplos usuários do RAM.

• Funções do RAM: suporte para autorização de funções do RAM.

• ClusterRoles personalizadas: suporte para vincular usuários a ClusterRoles personalizadas dentro do cluster. Para mais informações, consulte Configure RBAC permissions for RAM users or RAM roles.

Auditoria

O ACS integra-se ao SLS para coletar, consultar e visualizar logs de auditoria do servidor de API do cluster. Use esses logs para registrar e rastrear as operações diárias dos usuários do cluster e configurar alertas em tempo real para operações em tipos específicos de recursos. Para mais informações, consulte Use the cluster API server auditing feature.

Criptografia de Secrets

Por padrão, os Secrets do Kubernetes são armazenados no etcd codificados apenas em Base64, sem criptografia. Em clusters ACS, você pode criptografar Secrets usando chaves gerenciadas pelo Alibaba Cloud Key Management Service (KMS) para proteger dados confidenciais da aplicação em disco. Chaves com rotação automática também são suportadas. Para mais informações, consulte Use Alibaba Cloud KMS to encrypt secrets at rest.