Kubernetes CIS Benchmark

见kube-bench

1.安全策略

1.1 使用宿主节点的命名空间

  • 命名空间分
    • 网络命名空间
    • PID命名空间
    • IPC命名空间
  • Pod使用主机的网络命名空间
  • 绑定宿主节点端口
  • 使用宿主节点的PID和IPC命名空间

1.2 节点安全上下文配置

  • 指定容器中运行进程的用户ID
  • 组织容器以Root用户运行
  • 使用特权模式运行容器，对宿主节点内核具有完全的访问权限
  • 通过添加或禁用内核功能，配置细粒度内核访问权限
  • 设置SELinux选项，加强对容器的限制
  • 阻止对容器根文件系统的写入
  • 容器使用不同用户运行时共享存储卷

1.3 集群级别PodSecurityPolicy

  • 是否允许Pod使用宿主节点的PID、IPC、网络命名空间
  • Pod允许绑定的宿主节点端口
  • 容器运行时允许使用的用户ID
    • runAsUser\fsGroup\supplementalGroup
  • 是否允许拥有特权模式容器的pod
  • 允许添加那些内核功能，默认添加那些内核功能，总是禁用那些内核功能
  • 允许容器使用那些SELinux选项
  • 容器是否允许使用可写的根文件系统
  • 允许容器在哪些文件系统组下运行
  • 允许Pod使用哪些类型的存储卷
  • 对不同用户与组分配不同的PodSecurityPolicy

1.4 隔离Pod的网络

  • 对一个命名空间启用网络隔离
  • 同一命名空间内限制部分Pod访问一个服务端Pod(访问来源Pod控制)
  • 对不同的命名空间之间进行网络隔离
  • 服务端Pod访问来源CIDR网络控制
  • 限制某Pod只能访问指定服务端Pod(Pod去向访问流量控制)
 
 
 

Kubernetes安全策略的更多相关文章

  1. 实例演示：如何简化生产中的Pod安全策略？

    Pod安全策略对于强化K8S集群安全至关重要.本文将延续之前的文章继续深入介绍Pod安全策略. 首先,简单介绍了如何将Pod与Pod安全策略相关联,并使用RBAC来展示具体步骤.然后介绍如何在Ranc ...

  2. kubernetes高级之pod安全策略

    系列目录 什么是pod安全策略 pod安全策略是集群级别的用于控制pod安全相关选项的一种资源.PodSecurityPolicy定义了一系列pod相要进行在系统中必须满足的约束条件,以衣一些默认的约 ...

  3. Kubernetes 中的 Pod 安全策略

    来源:伪架构师作者:崔秀龙很多人分不清 SecurityContext 和 PodSecurityPolicy 这两个关键字的差别,其实很简单:•SecurityContext 是 Pod 中的一个字 ...

  4. Kubernetes 多租户：Pod 安全策略

    默认情况下,Kubernetes 允许创建一个有特权容器的 Pod,这些容器很可能会危机系统安全,而 Pod 安全策略(PSP)则通过确保请求者有权限按配置来创建 Pod,从而来保护集群免受特权 Po ...

  5. kubernetes入门（03）kubernetes的基本概念

    一.Pod 在Kubernetes集群中,Pod是创建.部署和调度的基本单位.一个Pod代表着集群中运行的一个进程,它内部封装了一个或多个应用的容器.在同一个Pod内部,多个容器共享存储.网络IP,以 ...

  6. 搭建基于Docker社区版的Kubernetes本地集群

    Kubernetes的本地集群搭建是一件颇费苦心的活,网上有各种参考资源,由于版本和容器的不断发展,搭建的方式也是各不相同,这里基于Docker CE的18.09.0版本,在Mac OS.Win10下 ...

  7. Kubernetes 网络排错指南

    本文介绍各种常见的网络问题以及排错方法,包括 Pod 访问异常.Service 访问异常以及网络安全策略异常等. 说到 Kubernetes 的网络,其实无非就是以下三种情况之一 Pod 访问容器外部 ...

  8. kubernetes 核心技术概念（二）之 volume namespace annoation

    volume k8s通过数据卷来提供pod数据的持久化,k8s的数据卷是对docker数据卷的扩展,k8s的数据卷是pod级别的,用来实现pod中容器的文件共享 volume是pod中能被多个容器访问 ...

  9. kubernetes之监控Prometheus实战--prometheus介绍--获取监控（一）

    Prometheus介绍 Prometheus是一个最初在SoundCloud上构建的开源监控系统 .它现在是一个独立的开源项目,为了强调这一点,并说明项目的治理结构,Prometheus 于2016 ...

随机推荐

  1. golang 1.12 自动补全

    golang 1.12 版本的自动补全问题 问题 golang 1.12 开始, 默认的 go install 不再生成 pkg 文件. 所以对第三方库的引用, 无法进行代码的自动补全. 解决方法 g ...

  2. C#：ref关键字和out关键字的区别

    1.在不使用关键字(比如ref关键字.out关键字等)修饰函数的情况下,大部分函数的参数是以值传递的方式,也就是说,“调用函数”在使用参数(比如myNumber)时,是把该参数复制多一份,然后将其传递 ...

  3. git rebase的使用： 合并多次commit记录； rebase一个分支的起点

    合并多次commit记录: good:https://blog.csdn.net/csdlwzy/article/details/83379546 使用 git log 命令查看提交历史: 想要合并前 ...

  4. Docker 创建 Redis 容器

    Docker 创建 Redis 容器 # 配置文件映射: # -v /root/redis/redis.conf:/etc/redis/redis.conf # 数据目录映射: # -v /root/ ...

  5. openresty 报错：lua entry thread aborted: runtime error

    [1]问题现象 (1)本地openresty系统 (2)报错信息 2019/09/10 08:13:55 [error] 2385#2385: *4 lua entry thread aborted: ...

  6. 想让自己的项目6666，可是 Chrome 不答应！

    读万卷书,行万里路!有的技能可以从书里学会,有的技能却需要在实战中打怪升级慢慢掌握,今天就来和大家聊一个很多小伙伴经常遇到的问题. 缘起 有人向松哥反映,在搭建微服务分布式配置中心 Spring Cl ...

  7. 百度前端技术学院task1.10

    任务十:Flexbox 布局练习 面向人群: 有一定HTML及CSS基础的同学 难度: 中 重要说明 百度前端技术学院的课程任务是由百度前端工程师专为对前端不同掌握程度的同学设计.我们尽力保证课程内容 ...

  8. JavaIO学习：打印流

    打印流 打印流是输出信息最方便的类,注意包含字节打印流:PrintStream和字符打印流:PrintWriter. 打印流提供了非常方便的打印功能,可以打印任何类型的数据信息,例如:小数,整数,字符 ...

  9. Redis（一） redis安装、启停

    Redis是开源的内存数据存储,常被用作为内存数据库.缓存.全局队列.计数器等等. Redis安装 Redis分为多种模式:单机模式.高可用模式.集群模式.这篇中主要简介单机版的安装方式. 源码构建式 ...

  10. KVM虚拟机网络配置 Bridge方式，NAT方式

    https://blog.csdn.net/hzhsan/article/details/44098537/