跳到主要内容

Kubernetes 配置安全

介绍​

Kubernetes是一个强大的容器编排平台，广泛应用于现代云原生应用的管理和部署。然而，随着应用规模的扩大，配置管理的复杂性也随之增加，尤其是在安全性方面。Kubernetes提供了多种工具和机制来帮助开发者安全地管理配置，包括Secrets、ConfigMaps和基于角色的访问控制（RBAC）等。

本文将逐步介绍如何在Kubernetes中安全地管理配置，并通过实际案例展示这些概念的应用。

Secrets：安全存储敏感信息​

在Kubernetes中，Secrets用于存储敏感信息，如密码、API密钥和TLS证书。Secrets的内容以Base64编码的形式存储，但请注意，Base64编码并不是加密，因此Secrets的安全性依赖于Kubernetes集群的安全性。

创建Secret​

以下是一个创建Secret的示例：

apiVersion: v1
kind: Secret
metadata:
  name: my-secret
type: Opaque
data:
  username: dXNlcm5hbWU=  # Base64编码的"username"
  password: cGFzc3dvcmQ=  # Base64编码的"password"

使用Secret​

在Pod中引用Secret：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
  - name: my-container
    image: nginx
    env:
    - name: SECRET_USERNAME
      valueFrom:
        secretKeyRef:
          name: my-secret
          key: username
    - name: SECRET_PASSWORD
      valueFrom:
        secretKeyRef:
          name: my-secret
          key: password
备注

注意：虽然Secrets提供了敏感信息的安全存储，但在生产环境中，建议使用加密的存储后端（如HashiCorp Vault）来进一步增强安全性。

ConfigMaps：管理非敏感配置​

ConfigMaps用于存储非敏感的配置数据，如环境变量、配置文件等。与Secrets不同，ConfigMaps的内容以明文形式存储。

创建ConfigMap​

以下是一个创建ConfigMap的示例：

apiVersion: v1
kind: ConfigMap
metadata:
  name: my-config
data:
  game.properties: |
    enemy.types=aliens,monsters
    player.lives=3
  ui.properties: |
    color.good=purple
    color.bad=yellow

使用ConfigMap​

在Pod中引用ConfigMap：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
  - name: my-container
    image: nginx
    env:
    - name: GAME_PROPERTIES
      valueFrom:
        configMapKeyRef:
          name: my-config
          key: game.properties
    - name: UI_PROPERTIES
      valueFrom:
        configMapKeyRef:
          name: my-config
          key: ui.properties
提示

提示：ConfigMaps非常适合存储非敏感的配置数据，但在处理敏感信息时，请始终使用Secrets。

RBAC：基于角色的访问控制​

Kubernetes的RBAC（基于角色的访问控制）机制允许管理员精细地控制用户和服务账户对集群资源的访问权限。通过RBAC，可以确保只有授权的用户和服务账户能够访问和修改配置。

创建Role和RoleBinding​

以下是一个创建Role和RoleBinding的示例：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: config-editor
rules:
- apiGroups: [""]
  resources: ["configmaps"]
  verbs: ["get", "list", "create", "update", "delete"]

---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: config-editor-binding
  namespace: default
subjects:
- kind: User
  name: alice
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: config-editor
  apiGroup: rbac.authorization.k8s.io
警告

警告：在生产环境中，务必谨慎分配权限，避免过度授权。

实际案例：安全配置管理​

假设你正在开发一个需要访问数据库的微服务应用。为了确保数据库连接信息的安全性，你可以使用Secrets来存储数据库的用户名和密码，并通过RBAC限制只有特定的服务账户能够访问这些Secrets。

步骤1：创建Secret​

apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
data:
  username: ZGIx
  password: cGFzc3dvcmQxMjM=

步骤2：创建Role和RoleBinding​

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: db-secret-reader
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["get", "list"]

---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: db-secret-reader-binding
  namespace: default
subjects:
- kind: ServiceAccount
  name: my-service-account
  namespace: default
roleRef:
  kind: Role
  name: db-secret-reader
  apiGroup: rbac.authorization.k8s.io

步骤3：在Pod中使用Secret​

apiVersion: v1
kind: Pod
metadata:
  name: my-app
spec:
  serviceAccountName: my-service-account
  containers:
  - name: my-container
    image: my-app-image
    env:
    - name: DB_USERNAME
      valueFrom:
        secretKeyRef:
          name: db-secret
          key: username
    - name: DB_PASSWORD
      valueFrom:
        secretKeyRef:
          name: db-secret
          key: password

总结​

Kubernetes提供了多种工具和机制来帮助开发者安全地管理配置。通过合理使用Secrets、ConfigMaps和RBAC，可以有效地保护敏感信息，并确保只有授权的用户和服务账户能够访问和修改配置。

附加资源​

练习​

  1. 创建一个Secret，存储一个API密钥，并在Pod中使用它。
  2. 创建一个ConfigMap，存储一个配置文件，并在Pod中挂载它。
  3. 创建一个Role和RoleBinding，限制某个用户只能读取特定的ConfigMap。

通过完成这些练习，你将更好地理解Kubernetes配置安全的关键概念。