15、数据传输加密与Kubernetes集群威胁防御

数据传输加密与Kubernetes集群威胁防御

1. 数据传输加密

在将关键业务工作负载投入生产时，通常需要对传输中的数据进行加密。这不仅是满足某些合规性要求的重要条件，也是一种良好的安全实践。许多合规标准，如HIPAA、GDPR和PCI等，都对数据传输加密有要求。例如，PCI DSS规定了持卡人数据在传输过程中的加密规则。

1.1 外部访问的加密实践

如果提供的服务可被公共互联网上的客户端访问，Kubernetes通常采用HTTPS标准做法。根据微服务架构的不同，HTTPS连接可以在目标微服务处终止，也可以由Kubernetes Ingress解决方案终止，如集群内的Ingress Pod（使用NGINX Ingress Controller时）或集群外的应用负载均衡器（使用AWS Load Balancer Controller时）。使用集群外应用负载均衡器时，要确保从负载均衡器到目标微服务的连接也使用HTTPS，避免出现未加密的网络跳。

1.2 集群内数据传输加密的方法

在集群内部，有三种主要的传输数据加密方法：
- 将加密功能构建到应用/微服务代码中 ：大多数编程语言都有用于加密网络连接的库，理论上可以在构建微服务时将加密功能集成进去，如使用HTTPS SSL/TLS或mTLS验证连接两端的身份。
- 使用基于边车或服务网格的加密 ：在应用层进行加密，无需对应用/微服务代码进行更改。
- 使用网络层加密 ：同样无需更改应用/微服务代码。

1.3 各加密方法的优缺