译自Securing Kubernetes in a Cloud Native World，作者 Nicolas Ehrman。
Kubernetes 已经彻底改变了云原生应用程序的部署和管理方式，但在云环境中如何降低这些薄弱环节的影响呢？
简单来说，云原生意味着在云计算环境中构建、部署和管理应用程序。在云中诞生的应用程序往往具有弹性、可移植性，能够轻松扩展以满足需求的起伏，并且可以根据需求轻松更新。确实，云原生意味着应用程序可以快速、频繁地进行更改和更新，而不会影响服务交付。应用程序可以快速进行开发和优化，然后根据用户反馈进行持续改进 —— 这一切都以商业运营的速度进行。
随着云原生应用程序的采用增加，Kubernetes已经成为许多组织的首选容器编排器。它自动化了容器化应用程序的部署、扩展和管理，使其成为现代DevOps 环境中不可或缺的一部分。然而，尽管 Kubernetes 如此强大和普遍，但确保其安全性并非易事。借助内置的安全功能和不断增长的第三方工具市场，创建安全的 Kubernetes 部署需要仔细规划、认真实施和持续管理。
Kubernetes 安全性
保护您的 Kubernetes 部署需要从开发过程的最早阶段开始采取全面且综合的方法。首先要加固基础架构和主机操作系统，以最小化潜在的攻击向量。在部署之前，容器镜像应始终经过审查并确保安全。
Kubernetes 包含一系列本地安全功能，包括基于角色的访问控制（RBAC）、网络策略和密钥管理。RBAC 是一个基本工具，允许管理员定义角色并将其绑定到用户或用户组，从而可以对在集群中访问和修改资源的人员进行细粒度控制。网络策略提供另一层保护，控制着 pod 之间以及与其他网络端点的通信方式。密钥管理有助于安全存储和管理诸如密码、令牌和 API 密钥等敏感信息，并允许将密钥集中存储和管理在 Kubernetes 中。
定期和持续地扫描容器镜像以寻找漏洞对于预防性威胁管理至关重要。为了维护容器化应用程序的完整性，在部署之前进行签名和验证过程也是必不可少的。
随着恶意行为者的方法不断演变，实时威胁检测系统可以作为最后防线。这些系统可以让您持续监视 Kubernetes 环境，以即时识别和应对威胁，确保您的容器化环境保持安全。
持续维护的挑战
成功应对 Kubernetes 安全并不仅仅是正确设置安全程序；这是一个持续的承诺。这条道路充满了挑战，如正确配置 Kubernetes、保护容器镜像、管理密钥和确保运行时监控。也许最具挑战性的方面是需要在 Kubernetes 部署的整个生命周期中持续获得可见性，及时检测配置错误和漏洞。
为了实现这一目标，运行时容器安全需要在整个堆栈上进行无代理扫描，包括容器、云和工作负载。在这一过程中，对运行中的容器和容器镜像注册表进行图像扫描至关重要。
确保 Kubernetes 部署的长期安全性是需要坚实策略的基础。定期更新、正确配置、漏洞扫描和严格遵循最佳安全实践是确保安全的 Kubernetes 环境的基石。同样，理解和监控行业和监管规则对于 Kubernetes 安全至关重要，确保合规性并避免数据隐私问题。
保持 Kubernetes 合规
不断变化的安全监管标准使得组织保持其 Kubernetes 部署符合规定变得至关重要。这消除了各种风险，包括安全漏洞、违规处罚和系统效率低下。
尽管合规性非常重要，但维持合规性并不是没有挑战的。首先，Kubernetes 部署的动态性使得有效跟踪和管理所有资源变得困难。其次，对配置缺乏可见性可能导致不符合规定的设置。第三，手动合规性检查繁琐且容易出错，并且随着 Kubernetes 集群数量的增加，不易扩展。
为了直面这些挑战，有几种策略可供选择。自动化合规性检查可以节省时间并减少错误，引入统一的策略执行可以确保更好的控制和可追溯性。
将合规性整合到 CI/CD 流水线中可以提前检测到不符合规定的问题，因此更容易进行纠正。使用这些策略可以确保合规性，并有助于优化部署的整体性能。
Kubernetes 安全：最佳实践
您的组织必须监控您的容器化应用程序，这些应用程序容易受到各种攻击和威胁。身份和访问管理是您的责任，以及所有各种配置、加密、网络流量保护、分段和其他细节。采用行业级安全最佳实践可以显著增强您的 Kubernetes 安全性配置文件。以下 10 项最佳实践应指导您的 Kubernetes 安全性程序：
- 最小权限原则：仅向 Kubernetes 环境内的任何实体授予所需的最低权限。（此举包括使用 RBAC 来建立和执行符合组织安全政策的基于角色的访问控制准则。）
- 分离敏感工作负载：通过物理或逻辑隔离，将关键应用程序与其他应用程序分开。
- 安全配置：应用安全配置以最小化漏洞，并禁用非必需接口。
- 持续漏洞管理：定期扫描漏洞，及时修补，并采取持续改进的方法。
- 安全镜像/容器：确保仅使用受信任且安全的镜像，并定期扫描、签名和验证这些镜像。
- 安全网络策略：在 Kubernetes 环境中定义、实施和执行安全网络策略。
- 监控和日志记录：确保记录和监视所有 Kubernetes 事件，以便检测异常活动，使审计更加容易。
- 实时威胁检测：使用专用的实时威胁检测工具来识别和响应潜在的事件，以最小化潜在威胁的影响。
- 不可变基础设施：使您的基础设施成为不可变的，从而防止和控制未经授权的更改，并减少潜在的攻击面。
- 事件响应计划：通过制定明确且经过实践的事件响应计划，为安全漏洞发生时做好准备。
安全文化
Kubernetes 安全是一个复杂但可管理的挑战。组织可以通过从一个坚实的基础开始，正确实施隔离和多租户，贯穿容器的整个生命周期保护容器，并培育安全文化，安全地驾驭云原生世界。
持续监控并使用正确的工具进一步确保 Kubernetes 环境对不断演变的威胁保持弹性。随着云原生技术的不断发展，保持信息和适应性至关重要，这是维护安全的 Kubernetes 生态系统的关键。
要了解更多关于 Kubernetes 和云原生生态系统的信息，请于3月19日至22日，加入我们在巴黎举办的 KubeCon + CloudNativeCon 欧洲大会。
