Ders 4.8: Pod güvenliği
Bir pod'un securityContext'i ve spec'i, düğümünün ne kadarına dokunabileceğine karar verir: ayrıcalıklı kip, ana makine ad alanları, hostPath birimleri ve root kullanıcılar, 3.3'teki tehlikeli Docker seçeneklerinin Kubernetes karşılıklarıdır. Pod Güvenlik Standartları (privileged, baseline, restricted) güvenli profilleri tanımlar ve Pod Güvenlik Kabulü onları ad alanı başına bir etiketle uygular. Laboratuvarda düğümün bütün dosya sistemini bağlayan API pod'unu buluyor, shop ad alanı için restricted standardını açıyor, Kubernetes'in eski bildirimi bir ihlal listesiyle reddettiğini görüyor ve uyumlu sürümü dağıtıyorsun.
18 dk
Bu derste öğreneceklerin
- securityContext ayarlarını açıklamak
- Ayrıcalıklı pod'ları ve hostPath bağlamalarını bulmak
- Üç Pod Güvenlik Standardını açıklamak
- Bir ad alanında restricted'ı uygulamak
- Uyumlu bir pod bildirimi yazmak
Temel terimler
- securityContext
- Kullanıcı, ayrıcalıklar, yetenekler, seccomp ve dosya sistemi için pod ve konteyner düzeyindeki ayarlar.
- hostPath birimi
- Düğümün bir dizinini pod'a bağlar.
- Pod Güvenlik Standartları
- Üç profil: privileged (sınır yok), baseline (bilinen yükseltmeleri engeller), restricted (sağlamlaştırılmış en iyi uygulama).
- Pod Güvenlik Kabulü
- Bir standardı etiketlerle ad alanı başına uygulayan yerleşik kabul denetleyicisi: enforce, audit, warn.
- seccomp
- Bir sürecin hangi sistem çağrılarını yapabileceğini sınırlayan Linux süzgeci; RuntimeDefault konteyner çalışma ortamının güvenli profilidir.
← DNS ve işaretleşme · Tüm dersler · Kipler, IV'ler ve doğrulanmış şifreleme →