centos环境下k8s安全策略有哪些

CentOS环境下K8s安全策略体系

一、系统基础安全加固

1. 操作系统层加固

• 禁用root以外超级用户：通过/etc/passwd排查并锁定不必要的超级账户（如adm、lp等），减少系统被提权攻击的风险。
• 强化口令策略：修改/etc/login.defs文件，强制用户设置包含大小写字母、数字和特殊字符的复杂口令（长度≥10位）。
• 保护敏感文件：使用chattr +i命令给/etc/passwd、/etc/shadow、/etc/group等文件添加不可更改属性，防止未授权修改。
• 限制su命令使用：编辑/etc/pam.d/su文件，仅允许特定组（如wheel）用户通过su切换至root。
• 禁用不必要的服务：使用systemctl disable关闭FTP、邮件服务器等非必需服务，降低攻击面。
• 配置防火墙：使用firewalld或iptables限制对SSH（22端口）、Kubernetes API（6443端口）等关键服务的访问，仅放行必要IP。

2. Kubernetes组件版本管理

• 升级至最新稳定版：定期通过kubeadm upgrade命令将Kubernetes集群升级至最新稳定版本，获取安全补丁（如修复CVE漏洞）。
• 同步组件版本：确保kubelet、kubeadm、kubectl等组件版本与集群版本一致，避免兼容性问题导致的安全风险。

二、身份认证与授权控制

1. API Server安全配置

• 启用TLS双向认证：为API Server配置CA签名的证书（如apiserver.crt、apiserver.key），强制客户端（如kubelet、kubectl）使用证书认证，禁用匿名访问（设置--anonymous-auth=false）。
• 限制API访问地址：通过--advertise-address参数指定API Server仅监听本地接口或内网IP，避免暴露在公网。

2. RBAC权限最小化

• 命名空间隔离：使用kubectl create namespace创建业务命名空间（如dev、prod），将不同团队的资源分隔，避免越权访问。
• 角色精细化授权：通过Role（命名空间级）或ClusterRole（集群级）定义最小权限（如get/list/watch pods），再通过RoleBinding或ClusterRoleBinding绑定至用户/服务账户。
• 关键操作审计：为ClusterRole添加审计注解（如audit.k8s.io/audit-level: Metadata），记录用户对敏感资源（如secrets、deployments）的操作，便于溯源。

三、网络访问控制

1. 网络策略（NetworkPolicy）

• 限制Pod间通信：使用NetworkPolicy资源定义Pod访问规则（如仅允许frontend命名空间的Pod访问backend命名空间的db标签Pod），未定义策略的命名空间默认拒绝所有流量。
• 选择支持插件：需配合Calico、Cilium等支持NetworkPolicy的网络插件生效，确保策略落地。

四、容器与镜像安全

1. Pod安全配置

• 替代PSP（Pod Security Policy）：使用Kubernetes内置的Pod Security Standards（PSS），启用baseline（基线）或restricted（严格）策略，禁止特权容器（privileged: false）、限制挂载主机路径（hostPath仅读）、设置根文件系统为只读（readOnlyRootFilesystem: true）。
• 安全上下文（SecurityContext）：在Pod或Container级别配置runAsNonRoot: true（以非root用户运行）、capabilities（删除不必要的Linux能力，如NET_ADMIN），降低容器逃逸风险。

2. 镜像安全管控

• 使用私有仓库：搭建Harbor等私有镜像仓库，避免直接拉取公共仓库（如Docker Hub）的高风险镜像。
• 镜像漏洞扫描：在CI/CD流水线中集成Trivy、Clair等工具，扫描镜像中的CVE漏洞（如高危漏洞），阻断有漏洞的镜像部署。
• 镜像签名验证：使用cosign工具对镜像进行签名，部署时通过ImagePolicyWebhook验证签名有效性，防止篡改。

五、数据与存储安全

1. etcd加密

• 静态数据加密：修改etcd配置文件（/etc/etcd/etcd.conf），启用--encryption-provider-config参数，配置AES-256-GCM加密算法，保护secrets、configmaps等敏感数据的存储安全。

2. Secret安全管理

• 避免硬编码：使用kubectl create secret命令将敏感信息（如数据库密码、API密钥）存储为Secret对象，而非直接写入Pod配置文件。
• 动态密钥注入：通过Vault CSI驱动实现动态密钥注入，避免Secret长期存储在集群中，降低泄露风险。

六、监控与审计

1. 日志与审计

• 启用审计日志：配置Kubernetes Audit Policy（如metadata、requestResponse级别），记录所有API请求（包括用户身份、操作时间、资源类型），并将日志发送至ELK、Loki等集中式日志系统，便于分析异常行为。
• 实时入侵检测：部署Falco等工具，监控容器和节点的异常行为（如宿主机文件访问、特权容器启动），触发告警并及时响应。

七、持续运维安全

1. 备份与恢复

• 定期备份关键数据：使用etcdctl snapshot save命令备份etcd数据，备份/etc/kubernetes目录下的配置文件（如kube-apiserver.yaml），并测试恢复流程，确保灾难发生时能快速恢复集群。

2. 安全扫描与更新

• 定期漏洞扫描：使用Kube-bench工具扫描集群是否符合CIS Kubernetes Benchmark安全标准，使用Kube-hunter工具模拟攻击检测潜在漏洞。
• 及时应用补丁：关注CentOS系统（yum update）和Kubernetes组件（kubeadm upgrade）的安全更新，第一时间修复已知漏洞。