30、Anthos集群安全策略与Google Cloud Marketplace应用指南

Anthos集群安全策略与Google Cloud Marketplace应用指南

1. Anthos安全与策略概述

Anthos在集群安全方面表现卓越，通过提供Anthos Config Manager（ACM），它包含了保障集群安全所需的工具。ACM的策略引擎是强大的附加组件，借助Gatekeeper，组织能够创建精细的策略，为集群提供额外的安全性和稳定性，抵御潜在攻击。Google还提供了一系列默认策略，这些策略基于社区和自身经验，解决了一些常见的安全问题。若默认策略库无法满足组织的安全需求，还能使用Gatekeeper的策略语言Rego创建自定义策略。

2. 使用ACM保障服务网格安全

2.1 ACM与服务网格

Anthos不仅提供基础的Kubernetes集群，还附带了如Anthos Service Mesh（ASM）、Binary Authorization、无服务器工作负载以及用于处理基础设施即代码的ACM等组件。在集群中，可利用ACM通过策略保障服务间的通信安全，同时ACM的Policy Controller基于开源项目Gatekeeper提供准入控制器。

2.2 使用ACM强制实施相互TLS

ASM具备使用相互TLS（mTLS）加密服务间流量的能力。mTLS通过Istio的边车在服务通信前验证服务身份，验证通过后通信将被加密。不过，默认情况下，Istio配置为使用宽松的mTLS，允许未运行边车的工作负载通过HTTP（明文）与启用边车的服务通信。对于刚接触服务网格的开发者或管理员，宽松设置便于学习Istio，但允许HTTP流量进入运行边车的服务会降低安全性，削弱Istio和边车的优势。熟悉Is