Заделываем дыры в кластере Kubernetes

Павел Селиванов, Southbridge.io

Расскажу о безопаности в Kubernetes и о том, как закрыть "дыры" в кластере. Затрону темы PodSecurityPolicy, LimitRange/ResourceQuota, расскажу, что и куда торчит портами в кластере.

Transcript

1. Заделываем дыры в кластере
2. Павел Селиванов 2
3. План 3 • Права пользователей vs права pod’ов • Сбор информации о кластере • DoS атака на кластер
4. Сетап 4
5. 5 Demo
6. Права pod’а 6 Privileged … Root user Host namespace Host path volume
7. Pod Security Policy 7 Контролирует аспекты безопасности в описании Pod’ов https://kubernetes.io/docs/concepts/policy/pod-security-policy/ spec: privileged: false hostNetwork: false hostPID: false volumes: - configMap - emptyDir - secret - persistentVolumeClaim Привилегированные запрещаем Использовать хостовые нэймспэйсы запрещаем Только эти типы вольюмов разрешены
8. 8 Мониторинг – самая большая дыра во Вселенной в Вашем кластере
9. Как закрывать Prometheus? 9 • Network Policy • Нет доступа – нет проблем • Kube-RBAC-Proxy (https://github.com/brancz/kube-rbac-proxy) • Добавляем авторизацию • На самом деле не только Prometheus • Scheduler • Controller-manager • etc…
11. https://kubernetes.io/docs/concepts/policy/limit-range/ Минимальные Дефолтные Максимальные Устанавливает ресурсы для объектов кластера • Для контейнеров • Для подов • Для PVC Limit Range 11
13. https://kubernetes.io/docs/concepts/policy/resource-quotas/ Устанавливает количество доступных ресурсов и объектов для нэймспэйса в кластере Сервисы Реквесты Лимиты … Поды Resource Quota 13
14. Итого 14 Pod Security Policy – это хорошо … Network Policy – это не какая то еще одна ненужная фича LimitRange/ResourceQuota – пора бы заглянуть в документацию Host path volume Записывайтесь к нам на Слёрм slurm.io
15. Вопросы?