13、Kubernetes安全与服务暴露：全面解析

Kubernetes安全与服务暴露：全面解析

1. 准入控制器

在组织内部，定义和遵循标准化的网络策略与标签模式至关重要，但此前基于资源和命名空间级别的基于角色的访问控制（RBAC）方法，并不能确保所有团队都遵循这些模式。Kubernetes本身没有内置的细粒度限制执行能力，但支持准入控制器API，允许第三方准入控制器插入Kubernetes API机制，在创建、更新和删除操作期间对对象进行语义验证，还可用于修改被允许的对象。

准入控制器在网络策略实施方面有诸多帮助，例如：
- 验证网络策略是否同时包含入站和出站规则，以符合组织遵循的最佳实践。
- 确保每个Pod都有特定的标签集，以符合组织定义的标签标准。
- 限制不同用户组使用特定的标签值。

此外，准入控制器在网络策略之外也有安全用例。比如，Kubernetes服务支持使用ExternalIP字段指定与服务关联的任意IP地址，若缺乏管控，该功能可能被恶意利用。使用准入控制器进行管控可能是必要的，具体取决于团队间的信任程度。

准入控制器的实现有以下几种选择：
- 使用专门针对组织特定控制需求的现有第三方准入控制器（如果存在）。
- 编写针对组织需求优化的自定义准入控制器。
- 使用具有丰富策略模型、可适用于广泛用例的通用准入控制器。

对于许多场景，选择通用准入控制器能在灵活性和编码复杂性之间取得良好平衡。例如，可以考虑Kyverno（具有专门为Kubernetes设计的策略引擎），或基于Open Policy Agent构建的准入控制器（其策略模型使用Rego定义了灵活的匹配和语言能力）。

虽然准入控制器功能强