Kubernetesのセキュリティのベストプラクティス

Transcript

1. Kubernetesのセキュリティ ベストプラクティス ianmlewis@

2. Ian Lewis • ianlewis@ • Google • Tokyo, Japan •

   #kubernetes, #go, #python

3. Kubernetes • コンテナ オーケストレーション • インフラ API/ フレームワーク

4. Guestbookアプリ • Web Frontend ◦ ウェブアプリ ◦ HTML/JS/CSS • Message

   ◦ メッセージを 保存・閲覧 • NGWord ◦ NG ワードを 検出する Kubernetes Cluster Web Frontend Redis NGWord message

5. Kubernetes API Server 1. フロントエンド Pod から トークンを取得 2. トークンを利用し、

   API サーバーを攻撃 3. シークレットなどを取得 し、さらに サービスを攻撃 Kubernetes Cluster Web Frontend Redis NGWord message ① ② ③

6. Mitigate 1 & 2: RBAC • Role Based Access Control

   • ユーザーやサービスアカウントへロールを付与 • ロールが権限を持つ ◦ get secrets ◦ update configmap ◦ etc. • RBAC 設定はネームスプペース範囲 • GKE では IAM と連携

7. Mitigate 1 & 2: RBAC ClusterRole ClusterRoleBinding 1:many many:1 Verb

   + Type

8. Mitigate 2: API Server Firewall • API サーバーへのアクセスを IP アドレスに制限

   • GKE: ◦ gcloud container clusters create --enable-master-authorized-networks --master-authorized-networks=....

9. Mitigate 3: Network Policy • データベースへのアクセスを必要のある Pod に制限 • ラブルセレクターで

   Pod を選択 • ネットワークプラグインで実装されてる : Calico, Weave, etc.

10. NetworkPolicy kind: NetworkPolicy apiVersion: networking.k8s.io/v1 metadata: name: redis spec: podSelector:

    matchLabels: name: redis ingress: - from: - podSelector: matchLabels: name: guestbook

11. ホストへアクセス 1. コンテナ外へ突破 2. Kubelet を攻撃 3. 同じホストに実行中の コンテナを攻撃 Host

    Web Frontend

12. Mitigate 1: non-rootユーザーで実行 apiVersion: v1 kind: Pod metadata: name: security-context-demo

    spec: securityContext: runAsUser: 1000

13. Mitigate 1: 読込専用ファイルシステム apiVersion: v1 kind: Pod metadata: name: security-context-demo

    spec: securityContext: readOnlyRootFilesystem: true

14. Mitigate 1: no_new_privs apiVersion: v1 kind: Pod metadata: name: security-context-demo

    spec: securityContext: allowPrivilegeEscalation: false

15. Mitigate 1: 組み合わせ apiVersion: v1 kind: Pod metadata: name: security-context-demo

    spec: securityContext: runAsUser: 1000 readOnlyRootFilesystem: true allowPrivilegeEscalation: false

16. Your App Container seccomp Mitigate 1: seccomp/ AppArmor/ SELinux AppArmor/

    SELinux

17. seccomp apiVersion: v1 kind: Pod metadata: name: mypod annotations: seccomp.security.alpha.kubernetes.io/pod:

    runtime/default ...

18. AppArmor apiVersion: v1 kind: Pod metadata: name: mypod annotations: container.apparmor.security.beta.kubernetes.io/hello:

    runtime/default spec: containers: - name: hello ...

19. SELinux apiVersion: v1 kind: Pod metadata: name: mypod spec: securityContext:

    seLinuxOptions: level: "s0:c123,c456" containers: - name: hello ...

20. Mitigate 2 & 3: Kubeletの権限を制限する • RBAC for Kubelet: ◦

    --authorization-mode=RBAC,Node --admission-control=...,NodeRestriction • Rotate Kubelet certs: ◦ kubelet … --rotate-certificates

21. Unsecured Pods • You follow the rules but others don't

    Kubernetes Cluster Web Frontend Redis NGWord message

22. Mitigate: PodSecurityPolicy apiVersion: extensions/v1beta1 kind: PodSecurityPolicy metadata: name: example spec:

    privileged: false # Don't allow privileged pods! # The rest fills in some required fields. seLinux: rule: RunAsAny supplementalGroups: rule: RunAsAny runAsUser: rule: 1000 fsGroup: rule: RunAsAny volumes: - '*'

23. istio • Service mesh • Envoy proxy 組み込み

24. トラフィクを傍受 1. ネットーワーク上の通 信を傍受 2. あるサビースに不正リ クエストを送る Kubernetes Cluster Web

    Frontend Redis NGWord message

25. istio 1. サービス間の プロクシー 2. 暗号化 3. 証明書の自動更新 4. ポリシーが

    セントラルサーバで集 中して管理する Kubernetes Cluster Web Frontend Redis NGWord message

26. Thanks!