Kubernetes 安全性

### Kubernetes 安全性

#### 访问控制

**RBAC（基于角色的访问控制）**
- **定义**：RBAC 使用 `rbac.authorization.k8s.io` API Group 实现授权决策，允许管理员通过 Kubernetes API 动态配置策略。RBAC 从 Kubernetes v1.6 处于 beta 版本，从 v1.8 开始，RBAC 已作为稳定的功能。启用 RBAC，请使用 `--authorization-mode=RBAC` 启动 API Server。
- **核心组件**：
  - **Role**：定义在特定命名空间中的权限集合。
  - **ClusterRole**：定义在整个集群范围内的权限集合。
  - **RoleBinding**：将 Role 绑定到特定的用户、组或服务账户上。
  - **ClusterRoleBinding**：将 ClusterRole 绑定到特定的用户、组或服务账户上。

**服务账户（ServiceAccount）**
- **定义**：服务账户是 Kubernetes 中用于为 Pod 提供身份认证和授权的机制。每个命名空间中都有一个默认的 `default` 服务账户。如果在创建 Pod 时没有指定服务账户，Kubernetes 会自动将 `default` 服务账户指派给该 Pod。
- **使用方法**：
  - **创建服务账户**：可以使用 `kubectl create serviceaccount <name>` 命令创建服务账户。
  - **授权**：使用 RBAC 为服务账户授予所需的最低权限。例如，可以创建一个 Role 或 ClusterRole，然后通过 RoleBinding 或 ClusterRoleBinding 将其绑定到服务账户上。

#### 安全策略

**Pod 安全策略（PodSecurityPolicy）**
- **定义**：PodSecurityPolicy 是一种资源，用于控制 Pod 的安全上下文。它定义了一组条件，这些条件必须被满足，Pod 才能被创建或更新。PodSecurityPolicy 已在 Kubernetes 1.21 版本中被弃用，取而代之的是 Pod 安全性标准（Pod Security Standards）。
- **主要控制点**：
  - **特权容器**：禁止特权容器，以防止大多数安全性机制失效。
  - **宿主名字空间**：禁止共享宿主上的名字空间。
  - **权能**：限制添加的权能，仅允许必要的权能。
  - **HostPath 卷**：禁止使用 HostPath 卷。
  - **宿主端口**：禁止使用宿主端口或限制使用特定端口。

**网络策略（NetworkPolicy）**
- **定义**：网络策略是一种资源，用于定义 Pod 之间的网络通信规则。通过网络策略，可以指定哪些 Pod 可以相互通信，以及哪些流量应该被阻止。
- **主要功能**：
  - **安全性**：限制 Pod 之间的通信，减少攻击面。
  - **合规性**：确保流量仅在特定的工作负载之间流动，满足合规要求。
  - **故障排除**：提供关于应该相互通信的 Pod 和服务的可见性，帮助解决网络问题。
- **示例**：
  ```yaml
  apiVersion: networking.k8s.io/v1
  kind: NetworkPolicy
  metadata:
    name: access-nginx
  spec:
    podSelector:
      matchLabels:
        app: nginx
    policyTypes:
    - Ingress
    - Egress
    ingress:
    - from:
      - podSelector:
          matchLabels:
            app: myapp
      ports:
      - protocol: TCP
        port: 80
    egress:
    - to:
      - ipBlock:
          cidr: 0.0.0.0/0
      ports:
      - protocol: TCP
        port: 53
  ```
  以上网络策略允许标签为 `app: myapp` 的 Pod 访问标签为 `app: nginx` 的 Pod 的 80 端口，并允许所有 Pod 发起 DNS 查询（53 端口）。

通过以上机制，Kubernetes 提供了强大的访问控制和安全策略管理功能，确保集群的安全性和稳定性。