Kubernetes CIS Benchmark

见kube-bench

1.安全策略

1.1 使用宿主节点的命名空间

  • 命名空间分
    • 网络命名空间
    • PID命名空间
    • IPC命名空间
  • Pod使用主机的网络命名空间
  • 绑定宿主节点端口
  • 使用宿主节点的PID和IPC命名空间

1.2 节点安全上下文配置

  • 指定容器中运行进程的用户ID
  • 组织容器以Root用户运行
  • 使用特权模式运行容器，对宿主节点内核具有完全的访问权限
  • 通过添加或禁用内核功能，配置细粒度内核访问权限
  • 设置SELinux选项，加强对容器的限制
  • 阻止对容器根文件系统的写入
  • 容器使用不同用户运行时共享存储卷

1.3 集群级别PodSecurityPolicy

  • 是否允许Pod使用宿主节点的PID、IPC、网络命名空间
  • Pod允许绑定的宿主节点端口
  • 容器运行时允许使用的用户ID
    • runAsUser\fsGroup\supplementalGroup
  • 是否允许拥有特权模式容器的pod
  • 允许添加那些内核功能，默认添加那些内核功能，总是禁用那些内核功能
  • 允许容器使用那些SELinux选项
  • 容器是否允许使用可写的根文件系统
  • 允许容器在哪些文件系统组下运行
  • 允许Pod使用哪些类型的存储卷
  • 对不同用户与组分配不同的PodSecurityPolicy

1.4 隔离Pod的网络

  • 对一个命名空间启用网络隔离
  • 同一命名空间内限制部分Pod访问一个服务端Pod(访问来源Pod控制)
  • 对不同的命名空间之间进行网络隔离
  • 服务端Pod访问来源CIDR网络控制
  • 限制某Pod只能访问指定服务端Pod(Pod去向访问流量控制)
 
 
 

Kubernetes安全策略的更多相关文章

  1. 实例演示：如何简化生产中的Pod安全策略？

    Pod安全策略对于强化K8S集群安全至关重要.本文将延续之前的文章继续深入介绍Pod安全策略. 首先,简单介绍了如何将Pod与Pod安全策略相关联,并使用RBAC来展示具体步骤.然后介绍如何在Ranc ...

  2. kubernetes高级之pod安全策略

    系列目录 什么是pod安全策略 pod安全策略是集群级别的用于控制pod安全相关选项的一种资源.PodSecurityPolicy定义了一系列pod相要进行在系统中必须满足的约束条件,以衣一些默认的约 ...

  3. Kubernetes 中的 Pod 安全策略

    来源:伪架构师作者:崔秀龙很多人分不清 SecurityContext 和 PodSecurityPolicy 这两个关键字的差别,其实很简单:•SecurityContext 是 Pod 中的一个字 ...

  4. Kubernetes 多租户：Pod 安全策略

    默认情况下,Kubernetes 允许创建一个有特权容器的 Pod,这些容器很可能会危机系统安全,而 Pod 安全策略(PSP)则通过确保请求者有权限按配置来创建 Pod,从而来保护集群免受特权 Po ...

  5. kubernetes入门（03）kubernetes的基本概念

    一.Pod 在Kubernetes集群中,Pod是创建.部署和调度的基本单位.一个Pod代表着集群中运行的一个进程,它内部封装了一个或多个应用的容器.在同一个Pod内部,多个容器共享存储.网络IP,以 ...

  6. 搭建基于Docker社区版的Kubernetes本地集群

    Kubernetes的本地集群搭建是一件颇费苦心的活,网上有各种参考资源,由于版本和容器的不断发展,搭建的方式也是各不相同,这里基于Docker CE的18.09.0版本,在Mac OS.Win10下 ...

  7. Kubernetes 网络排错指南

    本文介绍各种常见的网络问题以及排错方法,包括 Pod 访问异常.Service 访问异常以及网络安全策略异常等. 说到 Kubernetes 的网络,其实无非就是以下三种情况之一 Pod 访问容器外部 ...

  8. kubernetes 核心技术概念（二）之 volume namespace annoation

    volume k8s通过数据卷来提供pod数据的持久化,k8s的数据卷是对docker数据卷的扩展,k8s的数据卷是pod级别的,用来实现pod中容器的文件共享 volume是pod中能被多个容器访问 ...

  9. kubernetes之监控Prometheus实战--prometheus介绍--获取监控（一）

    Prometheus介绍 Prometheus是一个最初在SoundCloud上构建的开源监控系统 .它现在是一个独立的开源项目,为了强调这一点,并说明项目的治理结构,Prometheus 于2016 ...

随机推荐

  1. Zuul整合Swagger，使用ZuulFilter解决下游服务context-path

    问题起因:使用Zuul网关服务,需要整合下游系统的swagger,但是下游服务存在context-path配置,无法正确跳转,最后使用ZuulFilter解决. 1.Zuul整合下游swagger 首 ...

  2. 基于Django的Rest Framework框架的RESTful规范研究

    一.什么是RESTful规范 总的来说:RESTful规范就是一个非技术,人为约定的一个面向资源的架构理念. REST与技术无关,代表的是一种软件架构风格,REST是Representational ...

  3. [MSSQL]找出一天数据中从第一条数据开始每累加1小时的数据

    用Sql Server找出一天数据中从第一条数据开始每累加1小时的数据 -- ============================================= -- Author: Alle ...

  4. SpringBoot系列之profles配置多环境(篇一)

    SpringBoot profles配置多环境 23/100 发布文章 u014427391 软件环境简介 这里介绍一下SpringBoot提供的profiles属性加上maven配置一下多环境,在实 ...

  5. linux webbench测试高并发方法

    linux webbench测试高并发方法由于ab小工具 测试高并发 会出错 具体原因http://newmiracle.cn/?p=594所以采用webbench这个来测试<pre> w ...

  6. 【转帖】分布式事务之解决方案（XA和2PC）

    分布式事务之解决方案(XA和2PC) https://zhuanlan.zhihu.com/p/93459200 ​ 博彦信息技术有限公司 java工程师 3. 分布式事务解决方案之2PC(两阶段提交 ...

  7. 以Integer类型传参值不变来理解Java值传参

    最近在写代码的时候出了一个错误,由于对值引用理解的不深,将Integer传入方法中修改,以为传入后直接修改Integer中的值就不用写返回值接收了,虽然很快发现了问题,但还是来总结一下 首先是代码: ...

  8. pytest_demo_实战2_fixture应用

    1.py文件所在文件夹下创建 __init__.py 文件 2.文件夹目录下:创建conftest.py import pytest # @pytest.fixture() 里面没有参数,那么默认sc ...

  9. 排序算法Java代码实现（五）—— 快速排序

    本篇内容: 快速排序 快速排序 算法思想: 通过一趟排序将要排序的数据分割成独立的两部分, 其中一部分的所有数据都比另外一部分的所有数据都要小, 然后再按此方法对这两部分数据分别进行快速排序, 整个排 ...

  10. JS 对象属性名排序

    问题,对象属性名排序,如: var data = { A:[], D:[], B:{} } 调整为=> var data = { A:[], B:[], D:{} } 方法一: for,in,把 ...