23、Kubernetes 安全、监控与应用部署指南

Kubernetes 安全、监控与应用部署指南

1. Kubernetes 监控与安全工具

1.1 Kubernetes Dashboard

Kubernetes Dashboard 是一个基于 Web 的 Kubernetes 集群用户界面。如果你运行自己的 Kubernetes 集群，而非使用托管服务，可通过运行 Kubernetes Dashboard 获取与托管服务控制台大致相同的信息。它能让你以图形界面查看集群、节点和工作负载的状态，就像使用 kubectl 工具一样，还能创建和销毁资源。

不过，由于 Dashboard 会暴露大量关于集群和工作负载的信息，因此必须妥善保护它，切勿将其暴露在公共互联网上。Dashboard 可查看 ConfigMaps 和 Secrets 的内容，这些内容可能包含凭证和加密密钥，所以要像保护这些机密信息一样严格控制对 Dashboard 的访问。例如，2018 年安全公司 RedLock 发现数百个 Kubernetes Dashboard 控制台可在无任何密码保护的情况下通过互联网访问，其中包括特斯拉公司的一个控制台，攻击者从中提取了云安全凭证并访问了更多敏感信息。

最佳实践：
- 若无需运行 Kubernetes Dashboard（例如已有 GKE 等托管服务提供的 Kubernetes 控制台），则不要运行它。
- 若要运行，确保其具有最小权限，且绝不将其暴露在互联网上，而是通过 kubectl proxy 访问。

1.2 其他监控工具

• Weave Scope ：是一个出色的集群可视化和监控