授權管理

Kubernetes 叢集支援叢集層級的操作的子帳號授權。

詳細操作參見使用子帳號。

全鏈路 TLS 認證

在Container Service提供的 Kubernetes 叢集中，存在的以下通訊鏈路，均會進行 TLS 認證校正，以保證通訊不被竊聽或篡改。

  • 位於 Worker 節點上的 kubelet 主動串連位於 Master 節點上的 apiserver 時
  • 位於 Master 節點上的 apiserver 主動串連位於 Worker 節點上的 kubelet 時

在初始化過程中，發起初始化的 Master 節點會通過 SSH 隧道的方式串連到其他節點的 SSH 服務（22 連接埠）進行初始化。

原生 Secret&RBAC 支援

Kubernetes Secret 用於儲存密碼、OAuth Token、SSH Key 等敏感資訊。明文地將這些敏感資訊寫在 Pod YAML 檔案中或者寫在 Dockerfile 固化到鏡像中，會有資訊泄露的可能，使用 Secret 能有效地避免這些安全隱患。

詳細資料參見Secret。

Role-Based Access Control (RBAC) 使用 Kubernetes 內建的 API 組來驅動授權鑒權管理，您可以通過 API 來管理不同的 Pod 對應到不同的角色，以及各自的角色擁有的存取權限。

詳細資料參見Using RBAC Authorization。

網路隔離

Kubernetes 叢集中不同節點間 Pod 預設是可以互相訪問的。在部分情境中，不同業務之間不應該網路互連，為了減少風險，您需要引入網路隔離（Network Policy）。在 Kubernetes 叢集中，您可以使用 Canal 網路驅動實現網路隔離支援。

鏡像安全掃描

Kubernetes 叢集可使用Container Registry進行鏡像管理，鏡像服務支援鏡像安全掃描。

鏡像安全掃描可以快速識別鏡像中存在的安全風險，減少 Kubernetes 叢集上啟動並執行應用被攻擊的可能性。

詳細描述參見 鏡像安全掃描。

安全性群組與公網訪問

每個建立的叢集會被預設分配一個新的、安全風險最小化的安全性群組。該安全性群組對於公網入方向僅允許 ICMP。

建立叢集預設不允許公網 SSH 連入，您可以參考SSH訪問Kubernetes叢集 配置通過公網 SSH 連入到叢集節點中。

叢集節點通過 NAT Gateway訪問公網，可進一步減少安全風險。