强化Kubernetes集群用于SRE：安全控制实用指南

情景

某SRE团队管理多个用于生产工作负载的Kubernetes集群。在一次安全审计中，发现了多个关键漏洞：RBAC配置过于宽泛（例如，服务账户绑定到cluster-admin角色）、未启用Pod安全标准、网络策略缺失、密钥管理薄弱（未加密的etcd存储）、以及容器镜像扫描未集成。这些漏洞可能导致未授权访问、横向移动和数据泄露。

症状

• 安全扫描报告显示大量高风险RBAC绑定。
• 开发人员报告某些Pod可以访问不应有的资源。
• 合规团队指出未满足PCI-DSS或SOC2要求。
• 监控系统捕获到来自不同命名空间的异常API调用。

诊断

运行以下命令评估当前状态： 1. 检查RBAC权限： bash kubectl get clusterrolebindings,rolebindings --all-namespaces -o wide kubectl auth can-i --list --as=system:serviceaccount:<namespace>:<sa-name> 2. 检查Pod安全准入（PSA）或Pod安全策略（PSP，已弃用）： bash kubectl get psp kubectl get ns <namespace> -o yaml | grep pod-security 3. 查看网络策略： bash kubectl get networkpolicies --all-namespaces 4. 验证密钥加密： bash kubectl get secrets --all-namespaces -o json | jq '.items[] | select(.metadata.annotations."kubernetes.io/encrypted" != "true")' 5. 运行kube-bench进行基准测试： bash kube-bench run --targets master,node --version 1.24

命令与风险控制

1. 最小权限RBAC

• 创建特定角色和绑定： bash kubectl create role pod-reader --verb=get,list,watch --resource=pods kubectl create rolebinding pod-reader-binding --role=pod-reader --serviceaccount=default:svc-account --namespace=default
• 使用Kuberentes RBAC审查工具（例如rakkess）检查冗余权限。

2. 实施Pod安全准入

• 将命名空间标记为强制准入级别： bash kubectl label ns default pod-security.kubernetes.io/enforce=restricted
• 审核模式：先设置为audit或warn以避免中断现有工作负载。

3. 网络策略

• 创建默认拒绝所有入口和出口流量： ```yaml apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: default-deny-all spec: podSelector: {} policyTypes:
  • Ingress
  • Egress ```
• 逐步添加允许规则。

4. 密钥加密

• 在etcd上启用静态加密：配置encryption-provider-config.yaml并重启kube-apiserver。
• 使用外部密钥管理服务如AWS KMS或HashiCorp Vault。

5. 容器镜像扫描

• 在CI/CD流水线中集成Trivy或Clair： bash trivy image --severity CRITICAL myregistry/myapp:latest
• 拒绝部署含有严重漏洞的镜像。

回滚

• 对于RBAC：保留先前RBAC对象的备份yaml文件，使用kubectl apply -f backup.yaml恢复。
• 对于PSA：如果命名空间策略导致Pod失败，移除标签：kubectl label ns default pod-security.kubernetes.io/enforce-。
• 对于网络策略：删除新添加的策略：kubectl delete networkpolicies default-deny-all。
• 对于加密：恢复加密配置前需确保所有密钥已解密，否则数据损坏。谨慎操作。

验证

• 重新运行诊断命令，确认RBAC绑定已收紧、PSA强制执行、网络策略生效、密钥已加密。
• 尝试模拟越权访问： bash kubectl auth can-i create pods --as=system:serviceaccount:default:svc-account 应返回"no"。
• 部署测试Pod并验证网络隔离：kubectl exec test-pod -- curl http://other-pod-svc应超时。
• 检查加密： bash kubectl get secrets mysecret -o yaml | grep "encryption:"

何时提交OpsGlobal工单

• 当需要跨集群统一安全策略时，OpsGlobal的专家团队可以设计并自动化部署。
• 若现有工作负载因安全更改中断，且团队缺乏紧急修复经验。
• 若需要合规审计报告（如SOC2、HIPAA），OpsGlobal提供专业审计和修复支持。
• 若集群规模巨大（>50个节点），操作风险高，寻求外部安全专家协助。