14、保障Kubernetes上微服务的安全

保障Kubernetes上微服务的安全

1. 引言

在Kubernetes环境中运行微服务时，安全问题至关重要。大型企业分布式系统通常采用微服务架构和Kubernetes技术，这些系统承载着关键任务，处理着敏感信息，因此成为攻击者的目标。为了确保系统安全，我们需要采取一系列措施。

2. 镜像安全

2.1 避免节点冲突

在同一节点上可能会与其他租户产生冲突，其他租户可能会运行你的镜像。Kubernetes有一个名为AlwaysPullImages的准入控制器，它会将每个Pod的ImagePullPolicy设置为AlwaysPullImages，这样可以避免相关问题，但会增加拉取镜像的开销，即使镜像已存在且你有权使用。开启此准入控制器的操作步骤如下：
通过 --enable-admission-controllers 标志将其添加到传递给kube - apiserver的已启用准入控制器列表中。

2.2 漏洞扫描

代码或依赖项中的漏洞可能会让攻击者进入系统。国家漏洞数据库（https://nvd.nist.gov/）是了解新漏洞和管理流程（如安全内容自动化协议SCAP）的好地方。可以使用开源解决方案，如Claire（https://github.com/coreos/clair）和Anchore（https://anchore.com/kubernetes/），也有商业解决方案，许多镜像仓库也提供扫描服务。

2.3 更新依赖项

保持依赖项的更新，特别是当它们修复了已知漏洞时。需要在保持警惕和保守之间找到平衡。