Container Compute Service (ACS) barındırılan küme mimarisinde güvenlik uyumluluğu paylaşılan sorumluluk ilkesine uygun olmalıdır. ACS küme altyapısını ve kontrol düzlemi bileşenlerini güvence altına alır. ACS için paylaşılan sorumluluk modeli hakkında bilgi edinin.
Terimler
Bu konuda aşağıdaki terimler kullanılır:
Platform: ACS konsolu.
Müşteri: ACS müşterisi.
Güvenlik sorumluluğu ilkeleri
ACS, kaynakları tamamen barındıran sunucusuz bir platformdur. Aşağıdaki ilkeler Alibaba Cloud ile müşteriler arasındaki güvenlik sınırını tanımlar.
1. Alibaba Cloud'un sorumlulukları
Alibaba Cloud; altyapı güvenliği, güvenli veri depolama ve işleme ile müşteri verilerinin gizliliği dahil olmak üzere sunucusuz platformun güvenliğini ve güvenilirliğini temin eder. Alibaba Cloud; altyapı, yönetim ve güvenlik uygulamalarının uyumluluğunu korur, müşteri uygulamalarını saldırılara karşı korur ve veri gizliliği ile bütünlüğünü garanti eder.
2. Müşteri sorumlulukları
Müşteriler; veri güvenliği, erişim kontrolü, kod güvenliği ve kod denetimi dahil olmak üzere sunucusuz uygulamalarının güvenliğini temin eder. Müşteriler, erişimi yetkili kişiler veya ekiplerle sınırlamak için kimlik doğrulama ve yetkilendirme uygulamalıdır. Temel ilkeler şunlardır:
Müşteri kaynaklı riskler: Müşteriler, potansiyel güvenlik riskleri taşıyan veya aşırı yetkilendirilmiş pod'ların dağıtılmasından kaynaklanan iş kesintilerinden sorumludur.
İstenen konteyner ayrıcalıkları: Platform; ayrıcalıklı mod ve yetenekler gibi konteyner kararlılığını ve güvenliğini tehlikeye atabilecek özellikleri devre dışı bırakır. Müşteriler bu özellikleri talep edebilir ancak kümedeki diğer pod'lara yönelik yatay saldırılar gibi ortaya çıkan sorunlardan sorumlu olur.
3. Ortak yönetilen kaynak güvenliği
Müşteriler tarafından oluşturulan pod güvenlik grupları gibi bazı platform kaynakları Alibaba Cloud ve müşteriler tarafından ortaklaşa yönetilir. İdeal olarak bu kaynaklar tamamen Alibaba Cloud'da barındırılır ancak müşteriler bunları yönetmek isteyebilir. Aşağıdaki ilkeler geçerlidir:
Her taraf kendi risklerinden sorumludur. Bir müşteri riskli pod'lar dağıtır veya kötü amaçlı yazılım enjekte edilmiş görüntüler kullanırsa ortaya çıkan arızalardan müşteri sorumludur. Alibaba Cloud; ACS tarafından yönetilen tüm pod'ların potansiyel risk içermediğini ve müşteri iş yüklerini etkilemediğini garanti eder.
Her iki taraf da en az ayrıcalık ilkesine uyar. Bir müşteri kaynakları genel erişime aşırı şekilde açarsa ortaya çıkan saldırılardan müşteri sorumludur. Alibaba Cloud; ACS pod güvenlik gruplarının aşırı açılmadığını ve müşteri pod'larında herhangi bir konteyner kaçış riski bulunmadığını temin eder.
Güvenlik hem Alibaba Cloud'un hem de müşterilerin sorumluluklarını yerine getirmesini gerektirir. Alibaba Cloud altyapı güvenliğini ve uyumluluğu temin eder. Müşteriler uygulama ve veri güvenliğini temin eder. Paylaşılan sorumluluklar kapsamında Alibaba Cloud riskleri proaktif olarak azaltır ve geliştirilmiş güvenliğe sahip sunucusuz hizmetler sunar.
Sorumluluk modeli genel bakışı
Sistemlerinizi tasarlayıp dağıtmadan önce Alibaba Cloud ile müşteriler arasındaki sorumluluk sınırını anlayın. Alibaba Cloud, ACS küme altyapısını barındırır ve çalışma zamanı ortamını ve bileşenlerini güvence altına alır. Aşağıdaki diyagram ACS sunucusuz mimarisindeki her tarafın sorumluluklarını göstermektedir.
1. Alibaba Cloud'un sorumlulukları
Kontrol düzlemi tarafında Alibaba Cloud; CIS Kubernetes Benchmarks gibi yaygın güvenlik standartlarına dayanarak ACS kümelerindeki kontrol düzlemi bileşenlerinin güvenliğini artırır ve Güvenlik sistemi genel bakışı temelinde cloud-native uygulamaların yaşam döngüsü güvenliğini garanti eder. Aşağıdaki tabloda Alibaba Cloud'un güvenlik sorumlulukları açıklanmaktadır.
|
Güvenlik öğesi |
Açıklama |
|
Altyapı güvenliği |
|
|
Esnek bilişim kaynak havuzlarının güvenliği |
|
|
Kontrol düzlemi bileşenlerinin ve barındırılan bileşenlerin güvenliği |
Küme kimlik doğrulaması, sertifika yönetimi, Secret yönetimi, bağlantı noktası açığa çıkarma değerlendirmesi, VPC izolasyonu ve güvenlik grubu yapılandırması. |
|
Barındırılmayan bileşenlerin ve marketteki chart'ların güvenliği |
Güvenlik için anahtar yapılandırmaları standartlaştırır. |
2. Müşteriler
Veri düzlemi tarafında müşterilerin güvenlik operasyon ve bakım mühendisleri buluta dağıtılan uygulamaların güvenliğini sağlamalı ve cloud kaynaklarının güvenlik yapılandırmasından ve güncellemelerinden sorumlu olmalıdır. Aşağıdaki tabloda müşteri güvenlik sorumlulukları açıklanmaktadır.
|
Güvenlik öğesi |
Açıklama |
|
Uygulama güvenliği |
|
|
Operasyon ve bakım güvenliği |
İş iş yükleri için ağ, depolama ve gözlemlenebilirlik yapılandırmalarını yönetin. |
|
İş bileşeni güvenliği |
Diğer uygulamaların güvenliğini tehlikeye atmamak için operatör ve Webhook iş mantığını sıkı bir şekilde sınırlayın. |
|
Barındırılmayan bileşenlerin ve marketteki chart'ların güvenliği |
|