跟着云原生技能的发展，坚持信息更新和灵敏适应至关重要，这是维护安全的 Kubernetes 生态体系的要害。
译自Securing Kubernetes in a Cloud Native World，作者 Nicolas Ehrman。
Kubernetes 已经彻底改变了云原生应用程序的布置和办理方式，但在云环境中如何降低这些薄弱环节的影响呢？
简略来说，云原生意味着在云计算环境中构建、布置和办理应用程序。在云中诞生的应用程序往往具有弹性、可移植性，能够轻松扩展以满意需求的起伏，而且能够依据需求轻松更新。的确，云原生意味着应用程序能够快速、频繁地进行更改和更新，而不会影响服务交给。应用程序能够快速进行开发和优化，然后依据用户反应进行继续改进 —— 这一切都以商业运营的速度进行。
跟着云原生应用程序的选用添加，Kubernetes已经成为许多安排的首选容器编列器。它主动化了容器化应用程序的布置、扩展和办理，使其成为现代DevOps 环境中不可或缺的一部分。然而，尽管 Kubernetes 如此强大和普遍，但保证其安全性并非易事。凭借内置的安全功能和不断增加的第三方工具商场，创建安全的 Kubernetes 布置需求仔细规划、仔细施行和继续办理。
Kubernetes 安全性
维护您的 Kubernetes 布置需求从开发过程的最早阶段开始采纳全面且综合的办法。首要要加固根底架构和主机操作体系，以最小化潜在的攻击向量。在布置之前，容器镜像应始终通过审查并保证安全。
Kubernetes 包含一系列本地安全功能，包含基于人物的拜访操控（RBAC）、网络战略和密钥办理。RBAC 是一个基本工具，答应办理员界说人物并将其绑定到用户或用户组，然后能够对在集群中拜访和修改资源的人员进行细粒度操控。网络战略提供另一层维护，操控着 pod 之间以及与其他网络端点的通信方式。密钥办理有助于安全存储和办理诸如暗码、令牌和 API 密钥等灵敏信息，并答应将密钥集中存储和办理在 Kubernetes 中。
定时和继续地扫描容器镜像以寻觅缝隙关于预防性要挟办理至关重要。为了维护容器化应用程序的完整性，在布置之前进行签名和验证过程也是必不可少的。
跟着歹意行为者的办法不断演化，实时要挟检测体系能够作为最后防线。这些体系能够让您继续监督 Kubernetes 环境，以即时辨认和应对要挟，保证您的容器化环境坚持安全。
继续维护的应战
成功应对 Kubernetes 安全并不仅仅是正确设置安全程序；这是一个继续的许诺。这条路途充满了应战，如正确装备 Kubernetes、维护容器镜像、办理密钥和保证运转时监控。或许最具应战性的方面是需求在 Kubernetes 布置的整个生命周期中继续取得可见性，及时检测装备过错和缝隙。
为了实现这一方针，运转时容器安全需求在整个仓库上进行无署理扫描，包含容器、云和作业负载。在这一过程中，对运转中的容器和容器镜像注册表进行图画扫描至关重要。
保证 Kubernetes 布置的长期安全性是需求坚实战略的根底。定时更新、正确装备、缝隙扫描和严格遵循最佳安全实践是保证安全的 Kubernetes 环境的柱石。同样，理解和监控职业和监管规矩关于 Kubernetes 安全至关重要，保证合规性并避免数据隐私问题。
坚持 Kubernetes 合规
不断变化的安全监管标准使得安排坚持其 Kubernetes 布置符合规定变得至关重要。这消除了各种风险，包含安全缝隙、违规处分和体系效率低下。
尽管合规性非常重要，但坚持合规性并不是没有应战的。首要，Kubernetes 布置的动态性使得有效跟踪和办理一切资源变得困难。其次，对装备缺乏可见性或许导致不符合规定的设置。第三，手动合规性查看繁琐且简单出错，而且跟着 Kubernetes 集群数量的添加，不易扩展。
为了直面这些应战，有几种战略可供选择。主动化合规性查看能够节省时间并削减过错，引进统一的战略履行能够保证更好的操控和可追溯性。
将合规性整合到 CI/CD 流水线中能够提前检测到不符合规定的问题，因此更简单进行纠正。运用这些战略能够保证合规性，并有助于优化布置的整体功能。
Kubernetes 安全：最佳实践
您的安排必须监控您的容器化应用程序，这些应用程序简单遭到各种攻击和要挟。身份和拜访办理是您的责任，以及一切各种装备、加密、网络流量维护、分段和其他细节。选用职业级安全最佳实践能够明显增强您的 Kubernetes 安全性装备文件。以下 10 项最佳实践应指导您的 Kubernetes 安全性程序：
- 最小权限原则：仅向 Kubernetes 环境内的任何实体颁发所需的最低权限。（此举包含运用 RBAC 来树立和履行符合安排安全方针的基于人物的拜访操控原则。）
- 别离灵敏作业负载：通过物理或逻辑阻隔，将要害应用程序与其他应用程序分隔。
- 安全装备：应用安全装备以最小化缝隙，并禁用非必需接口。
- 继续缝隙办理：定时扫描缝隙，及时修补，并采纳继续改进的办法。
- 安全镜像/容器：保证仅运用受信任且安全的镜像，并定时扫描、签名和验证这些镜像。
- 安全网络战略：在 Kubernetes 环境中界说、施行和履行安全网络战略。
- 监控和日志记载：保证记载和监督一切 Kubernetes 事情，以便检测异常活动，使审计更加简单。
- 实时要挟检测：运用专用的实时要挟检测工具来辨认和呼应潜在的事情，以最小化潜在要挟的影响。
- 不可变根底设施：使您的根底设施成为不可变的，然后防止和操控未经授权的更改，并削减潜在的攻击面。
- 事情呼应方案：通过拟定明确且通过实践的事情呼应方案，为安全缝隙发生时做好准备。
安全文明
Kubernetes 安满是一个杂乱但可办理的应战。安排能够通过从一个坚实的根底开始，正的确施阻隔和多租户，贯穿容器的整个生命周期维护容器，并培育安全文明，安全地驾驭云原生国际。
继续监控并运用正确的工具进一步保证 Kubernetes 环境对不断演化的要挟坚持弹性。跟着云原生技能的不断发展，坚持信息和适应性至关重要，这是维护安全的 Kubernetes 生态体系的要害。
要了解更多关于 Kubernetes 和云原生生态体系的信息，请于3月19日至22日，加入我们在巴黎举行的 KubeCon CloudNativeCon 欧洲大会。
本文在如此众生（yylives.cc/）首发，欢迎我们拜访。
