[[415104]]

 限制網絡暴露

Kubernetes 重要組件的網絡暴露必須限制：其中 Kubelet API、Kubernetes Dashboard、ETCD 上述組件不要暴露到公網，內部暴露也盡量限制范圍。API server 如果非要對外暴露一定是提供HTTPS證書認證的方式。

使用 RBAC

安全領域的堅守的準則之一：最小化權限開放。通過RBAC 開放最小化權限。因為在k8s中serviceaccount 會自動注入到 pod 中的，給予不必要的權限非常危險，尤其操作 Pod 的權限。

Secret

Secret 管理程序，商業的有如 Hashicorp Vault，開源的有 Sealed Secrets、Kamus 、Helm Secerts Plugin。原生sercet的base64 實在是太弱了。

Network Policy

Network Policy 作為在 Kubernetes 集群范圍內控制應用網絡訪問范圍的有效手段。但這個設置需要謹慎，否則很容易導致生產故障。

Security Context

Kubernetes 的 Security Context 定義 Pod 或 Container 的特權與訪問控制設置。包括非root運行，開放各種capabilities等。比如，下面通過NET_ADMIN 開啟容器配置網絡的權限。

apiVersion: v1  
kind: Pod  
metadata:  
  name: security-context-demo-4  
spec:  
  containers:  
  - name: sec-ctx-4  
    image: busybox  
    securityContext:  
      capabilities:  
        add: ["NET_ADMIN"]  

seccomp

過濾危險的系統調用。

安全容器

部分高危的應用可用采用kata等安全容器部署，減少容器逃逸帶來的風險。