Ders 4.15: Ağ ilkeleri ve sırlar
Bir Kubernetes kümesinin içinde her pod varsayılan olarak diğer her pod'la konuşabilir; bu yüzden ele geçirilmiş tek bir pod veritabanına, önbelleğe ve her iç API'ye ulaşabilir. NetworkPolicy'ler bunu kısıtlar; her iş yükünün etrafındaki bir güvenlik duvarı gibi. Ve Kubernetes Secret'ları yalnızca base64 ile kodlanmıştır, şifrelenmemiştir: onları okumasına izin verilen herkes parolaya sahiptir. Laboratuvarda shop ad alanında hiç ağ ilkesi olmadığını buluyor, bir Secret'tan veritabanı parolasını çözüyor, her geliştiricinin onu okuyabildiğini keşfediyor, rollerini daraltıyor ve açık izinlerle varsayılan olarak reddeden bir ilke uyguluyorsun.
17 dk
Bu derste öğreneceklerin
- Kubernetes'in varsayılan ağ davranışını açıklamak
- Varsayılan olarak reddeden ve izin veren ilkeler yazmak
- Secret'ların base64 ile neden şifrelenmiş olmadığını açıklamak
- Secret'ları kimin okuyabildiğini bulmak
- Durağan şifrelemeyi ve harici sır depolarını tarif etmek
Temel terimler
- NetworkPolicy
- Pod'ları etikete göre seçen ve belirli giriş/çıkış trafiğine izin veren kurallar; bir ilke pod'u seçtiğinde izin verilmeyen her şey reddedilir.
- Varsayılan reddetme
- Boş bir podSelector'a sahip ve kuralı olmayan, ad alanındaki o türden tüm trafiği engelleyen bir ilke.
- Kubernetes Secret'ı
- Hassas veri için bir nesne; küme veritabanında (etcd) base64 ile kodlanmış olarak saklanır.
- Harici sırlar
- Sırları kümenin dışındaki bir yöneticide tutup çalışma anında eşitlemek ya da bağlamak.
- Yanal hareket
- Ele geçirilmiş bir sistemden diğerlerine geçmek.
← Zeek bağlantı günlükleri · Tüm dersler · Açık anahtarlı kriptografi ve SSH anahtarları →