Day-340-Kubernetes 安全

# Day 357: Kubernetes 安全 - RBAC/网络策略/Pod 安全/集群安全

> 云安全系列第 17 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [K8s 安全架构](#k8s-安全架构)
2. [RBAC 权限管理](#rbac-权限管理)
3. [网络策略](#网络策略)
4. [Pod 安全](#pod-安全)
5. [集群安全](#集群安全)
6. [安全最佳实践](#安全最佳实践)
7. [总结与思考](#总结与思考)
8. [参考资料](#参考资料)

---

## K8s 安全架构

### 安全组件

**控制平面安全**：
```
API Server:
- 认证授权
- 访问控制
- 审计日志

etcd:
- 数据加密
- 访问控制
- 备份恢复

Scheduler:
- 调度安全
- 节点选择
- 资源分配

Controller Manager:
- 控制器安全
- 资源管理
- 状态同步
```

**节点安全**：
```
Kubelet:
- 节点认证
- Pod 管理
- 健康检查

Kube-proxy:
- 网络代理
- 服务发现
- 负载均衡

容器运行时:
- 容器隔离
- 资源限制
- 安全上下文
```

### 安全层次

**认证层**：
```
认证方式:
- 客户端证书
- 令牌认证
- 身份提供商

认证流程:
- 请求认证
- 身份验证
- 令牌颁发
```

**授权层**：
```
授权模式:
- RBAC
- ABAC
- Node 授权

授权流程:
- 请求授权
- 权限检查
- 访问控制
```

---

## RBAC 权限管理

### RBAC 基础

**RBAC 组件**：
```
Role:
- 命名空间级别
- 权限定义
- 资源操作

ClusterRole:
- 集群级别
- 全局权限
- 跨命名空间

RoleBinding:
- 角色绑定
- 主体关联
- 命名空间范围

ClusterRoleBinding:
- 集群角色绑定
- 全局绑定
- 跨命名空间
```

**权限定义**：
```
资源:
- pods
- services
- deployments
- configmaps

操作:
- get
- list
- watch
- create
- update
- patch
- delete
```

### 权限设计

**最小权限**：
```
原则:
- 最小必要权限
- 按需授权
- 定期审查

实施:
- 从只读开始
- 按需增加
- 权限审计
```

**职责分离**：
```
角色分离:
- 开发角色
- 运维角色
- 安全角色
- 审计角色

权限分离:
- 开发权限
- 部署权限
- 管理权限
- 审计权限
```

---

## 网络策略

### 网络策略基础

**策略类型**：
```
入站策略:
- 源选择
- 端口选择
- 协议选择

出站策略:
- 目标选择
- 端口选择
- 协议选择

默认策略:
- 默认允许
- 默认拒绝
- 白名单模式
```

**策略实施**：
```
CNI 插件:
- Calico
- Cilium
- Weave Net

策略执行:
- iptables
- eBPF
- 用户空间
```

### 策略设计

**分层策略**：
```
命名空间策略:
- 命名空间隔离
- 跨命名空间
- 默认策略

应用策略:
- 应用隔离
- 服务间通信
- 外部访问

数据策略:
- 数据库访问
- 缓存访问
- 存储访问
```

**最佳实践**：
```
默认拒绝:
- 默认拒绝所有
- 按需允许
- 白名单模式

最小开放:
- 最小端口
- 最小源
- 最小目标
```

---

## Pod 安全

### Pod 安全标准

**安全级别**：
```
Privileged:
- 无限制
- 特权容器
- 不推荐

Baseline:
- 最小限制
- 防止已知风险
- 默认级别

Restricted:
- 严格限制
- 当前最佳实践
- 高安全要求
```

**安全上下文**：
```
容器级别:
- runAsNonRoot
- readOnlyRootFilesystem
- allowPrivilegeEscalation

Pod 级别:
- securityContext
- 卷安全
- 主机网络
```

### Pod 安全策略

**策略控制**：
```
Pod Security Admission:
- 准入控制
- 策略执行
- 审计模式

策略级别:
- enforce: 强制执行
- audit: 审计模式
- warn: 警告模式
```

**安全配置**：
```
用户配置:
- runAsUser
- runAsGroup
- fsGroup

能力配置:
- capabilities.add
- capabilities.drop
- 最小能力

文件系统:
- readOnlyRootFilesystem
- 卷权限
- 临时文件系统
```

---

## 集群安全

### 集群配置

**API Server 安全**：
```
认证配置:
- 客户端证书
- 令牌认证
- Webhook 认证

授权配置:
- RBAC 启用
- 授权模式
- 审计配置

TLS 配置:
- TLS 证书
- TLS 版本
- 加密套件
```

**etcd 安全**：
```
加密配置:
- 静态加密
- 传输加密
- 密钥管理

访问控制:
- 客户端证书
- 访问控制
- 审计日志

备份恢复:
- 定期备份
- 备份加密
- 恢复测试
```

### 节点安全

**节点加固**：
```
系统加固:
- OS 加固
- 内核参数
- 安全模块

服务加固:
- 服务最小化
- 端口关闭
- 服务加固

监控加固:
- 日志收集
- 监控配置
- 告警配置
```

**节点监控**：
```
系统监控:
- CPU 使用
- 内存使用
- 磁盘使用

安全监控:
- 异常进程
- 异常网络
- 异常文件
```

---

## 安全最佳实践

### 配置管理

**安全基线**：
```
CIS Benchmark:
- CIS K8s Benchmark
- 自动检查
- 合规报告

安全配置:
- 安全基线
- 配置管理
- 变更管理
```

**策略管理**：
```
OPA Gatekeeper:
- 策略定义
- 策略执行
- 策略审计

Kyverno:
- Kubernetes 原生
- 策略引擎
- 自动修复
```

### 监控审计

**日志收集**：
```
审计日志:
- API 审计
- 节点审计
- 应用审计

日志存储:
- 集中存储
- 日志保护
- 保留策略
```

**安全监控**：
```
威胁检测:
- 异常检测
- 威胁情报
- 行为分析

告警响应:
- 告警配置
- 响应流程
- 自动响应
```

---

## 总结与思考

### 核心要点回顾

1. **K8s 架构**：安全组件、安全层次、认证授权
2. **RBAC**：RBAC 组件、权限设计、最小权限
3. **网络策略**：策略类型、策略实施、策略设计
4. **Pod 安全**：安全标准、安全上下文、策略控制
5. **集群安全**：集群配置、节点安全、节点监控
6. **最佳实践**：配置管理、监控审计

### 深入思考

**安全挑战**：
- 配置复杂
- 权限管理
- 持续监控

**发展趋势**：
- 零信任架构
- 自动化安全
- 云原生安全

### 最佳实践

**设计**：
- 最小权限
- 纵深防御
- 安全左移

**实施**：
- 自动化检查
- 持续监控
- 持续改进

---

## 参考资料

### 学习资源

- **Kubernetes Security**: https://kubernetes.io/docs/concepts/security/
- **CNCF Security**: https://github.com/cncf/tag-security
- **OWASP Kubernetes**: https://owasp.org/www-project-kubernetes-security/

### 工具资源

- **kube-bench**: https://github.com/aquasecurity/kube-bench
- **OPA Gatekeeper**: https://open-policy-agent.github.io/gatekeeper/
- **Falco**: https://falco.org

---

*Day 357 完成 | Kubernetes 安全详解 | 字数：约 15,000 字*