Protección de la implementación de Azure Kubernetes Service (AKS)

Azure Kubernetes Service (AKS) proporciona un entorno de Kubernetes administrado para implementar y operar aplicaciones en contenedores. Microsoft administra el plano de control de Kubernetes, mientras que es responsable de proteger las cargas de trabajo, la configuración del nodo, las redes, la identidad y los datos de los clústeres. Al implementar AKS, es importante seguir los procedimientos recomendados de seguridad para proteger esta superficie compartida en el ciclo de vida del clúster.

En este artículo se proporcionan recomendaciones de seguridad para ayudar a proteger la implementación de AKS. Muchos de estos controles están preconfigurados en AKS Automatic, que inicia clústeres desde una línea base protegida y están disponibles para habilitar y administrar en AKS Standard. Para conocer los conceptos subyacentes a estos controles, incluido el funcionamiento de la seguridad de AKS en la canalización de compilación a tiempo de ejecución, consulte Conceptos de seguridad para aplicaciones y clústeres en AKS.

Las recomendaciones de seguridad de este artículo implementan principios de confianza cero: "Comprobar explícitamente", "Usar acceso con privilegios mínimos" y "Asumir vulneración de seguridad". Para obtener instrucciones de Confianza cero completas, consulte el Centro de instrucciones Confianza cero.

Seguridad específica del servicio

AKS combina primitivos de seguridad de Kubernetes con controles de plataforma Azure. Las siguientes recomendaciones abordan problemas de protección únicos para ejecutar un clúster de Kubernetes administrado, incluida la integridad del nodo, la procedencia de las imágenes y el aislamiento de la carga de trabajo.

Fortificación de clústeres y nodos

  • Mantener los clústeres en una versión de Kubernetes compatible con actualizaciones automáticas del clúster: inscriba clústeres en un canal de actualización automática para que el plano de control y los grupos de nodos reciban revisiones de Kubernetes que corrijan vulnerabilidades conocidas sin intervención manual. Para más información, consulte Actualización automática de un clúster de AKS.
  • Aplicar actualizaciones de seguridad del sistema operativo de nodo automáticamente: configure el canal de actualización automática del sistema operativo del nodo para que los nodos reciban revisiones de seguridad del sistema operativo Linux y Windows en una cadencia definida. Para obtener más información, consulte Actualización automática de imágenes de sistema operativo del nodo de clúster de AKS.
  • Imponer los estándares de admisión de seguridad de los pods: aplique los estándares de seguridad de pods de referencia o restringidos a nivel de espacio de nombres para evitar pods con privilegios, la compartición del espacio de nombres del host y montajes de volúmenes no seguros. Para más información, consulte Proteja sus pods en AKS.
  • Implementación de grupos de nodos habilitados para FIPS para cargas de trabajo reguladas: habilite los grupos de nodos habilitados para FIPS, que usan módulos criptográficos validados por FIPS 140-3, cuando las cargas de trabajo deben cumplir requisitos como el cumplimiento de FedRAMP. Para obtener más información, consulte Habilitación del estándar federal de procesos de información (FIPS) para grupos de nodos de AKS.
  • No ejecute cargas de trabajo multiinquilino hostiles en un clúster compartido: un clúster de Kubernetes estándar no es un límite de seguridad difícil entre inquilinos que no son de confianza, ya que el dominio de seguridad es todo el clúster en lugar de un nodo individual. En el caso de las cargas de trabajo que requieren aislamiento seguro, use clústeres aislados físicamente, tamaños de nodo de máquina virtual aislados o espacio aislado de pods. Para más información, consulte Procedimientos recomendados para el aislamiento de clústeres en AKS.

Seguridad de la imagen de contenedor y la cadena de suministro

  • Restringir las implementaciones a registros de contenedor de confianza: use el complemento Azure Policy para exigir que los pods solo puedan extraer imágenes de registros aprobados, como la Azure Container Registry privada, por lo que las imágenes públicas que no son de confianza no se pueden ejecutar en el clúster. Para obtener más información, consulte Asegure los clústeres de AKS con Azure Policy.
  • Eliminación de imágenes vulnerables sin usar con Image Cleaner: habilite Image Cleaner para quitar automáticamente imágenes obsoletas de los nodos y reducir la superficie expuesta a ataques que quedan por imágenes vulnerables. Para obtener más información, consulte Uso de Image Cleaner para limpiar imágenes vulnerables en AKS.
  • Examinar registros y ejecutar cargas de trabajo con Microsoft Defender para contenedores: detecte imágenes vulnerables y configuraciones incorrectas en el registro y los clústeres antes y después de la implementación. Para obtener más información, consulte Introducción a Microsoft Defender para contenedores.

Seguridad de red

De forma predeterminada, el servidor de API de AKS es accesible a través de un punto de conexión público y la salida del clúster no está restringida. Restringir el acceso entrante al plano de control y al tráfico saliente de las cargas de trabajo se encuentra entre los cambios más eficaces que puede realizar para reducir la superficie expuesta a ataques de red del clúster.

Administración de identidades y acceso

AKS autentica las identidades de clúster y carga de trabajo a través de Microsoft Entra ID y autoriza el acceso a través de Azure RBAC y RBAC de Kubernetes. Use identidades administradas y autorización respaldada por Entra en lugar de credenciales estáticas o cuentas de Kubernetes independientes.

  • Usar una identidad administrada para el clúster: configure el clúster para que use una identidad administrada y así AKS acceda a recursos de Azure sin credenciales estáticas de la entidad de servicio que deben rotarse. Para obtener más información, consulte Uso de una identidad administrada en Azure Kubernetes Service (AKS).
  • Utilizar la identidad de carga de trabajo para el acceso de los pods a los recursos de Azure: federar las cuentas de servicio de Kubernetes con identidades de carga de trabajo de Microsoft Entra para que los pods obtengan tokens para los recursos de Azure sin almacenar secretos. Para obtener más información, consulte Uso de Id. de carga de trabajo de Microsoft Entra con AKS.
  • Integración de la autenticación de clúster con Microsoft Entra ID: habilite Microsoft Entra integración para que los usuarios y grupos se autentiquen en el clúster con sus identidades Entra en lugar de certificados compartidos. Para más información, consulte Integración de Microsoft Entra administrada por AKS.
  • Autorización del acceso a la API de Kubernetes con Azure RBAC: use Azure RBAC para la autorización de Kubernetes y asigne los roles integrados de AKS (lector de RBAC de Azure Kubernetes Service, escritor de RBAC de Azure Kubernetes Service, Azure Kubernetes Service Administrador de RBAC y Azure Kubernetes Service administrador de clústeres de RBAC) en el ámbito de clúster o espacio de nombres para conceder acceso con privilegios mínimos. Para más información, consulte Conceptos de autorización de clúster.
  • Deshabilitar cuentas locales de Kubernetes: desactive las cuentas locales para que todo el acceso al clúster fluya a través de Microsoft Entra ID y no pueda omitir la autorización respaldada por Entra con la credencial de administrador del clúster estático. Para obtener más información, consulte Administración de cuentas locales con integración de Microsoft Entra administradas por AKS.
  • Exigir acceso condicional para los administradores de clústeres: Aplique directivas de acceso condicional que requieran autenticación multifactor y dispositivos conformes para las identidades de Entra que pueden crear, actualizar o eliminar clústeres de AKS y administrar sus grupos de nodos, redes y asignaciones de rol. Para más información, consulte Requerir MFA para la gestión de Azure.

Protección de los datos

AKS cifra los datos en reposo en discos administrados de forma predeterminada. Configure los siguientes controles para proteger los secretos de Kubernetes y usar sus propias claves cuando así lo exijan sus requisitos de cumplimiento.

  • Cifrado de secretos de Kubernetes en etcd con un servicio de administración de claves: habilite el cifrado de datos de KMS para que los objetos secretos de Kubernetes se cifren en la capa de aplicación antes de que se escriban en etcd, mediante claves administradas por la plataforma o sus propias claves administradas por el cliente en Azure Key Vault. Para obtener más información, consulte Conceptos de cifrado de datos en reposo para AKS.
  • Almacene los secretos de la aplicación en Azure Key Vault: Use el proveedor de Azure Key Vault para el controlador CSI de Secrets Store para montar secretos, claves y certificados desde Key Vault en lugar de almacenarlos como secretos de Kubernetes en texto sin formato. Para obtener más información, consulte Usar el proveedor de Azure Key Vault para Secrets Store CSI Driver en AKS.
  • Usar claves administradas por el cliente para discos de datos y nodos: cifre los discos de datos y del sistema operativo con sus propias claves en Key Vault cuando necesite controlar el ciclo de vida de la clave de cifrado. Para obtener más información, consulte Uso de sus propias claves (BYOK) con discos de Azure en AKS.
  • Habilitar el cifrado basado en host: active el cifrado basado en host para que los discos temporales y las memorias caché de disco de sistema operativo o de datos en la máquina virtual del nodo se cifren en reposo en el host. Para obtener más información, consulte Cifrado basado en host en AKS.

Registro y supervisión

Recopile datos de telemetría de clúster, plano de control y carga de trabajo para que pueda detectar e investigar amenazas en los clústeres de AKS.

  • Supervisión de clústeres con Container Insights: habilite Container Insights para recopilar métricas y registros de nodo y contenedor para los clústeres en un área de trabajo de Log Analytics. Para obtener más información, consulte Supervisión de Azure Kubernetes Service (AKS).
  • Recopile registros de auditoría del plano de control mediante la configuración de diagnóstico: configure la configuración de diagnóstico para enviar a Log Analytics las categorías del servidor de API de Kubernetes y del registro de auditoría (kube-audit, kube-audit-admin y guard) para investigaciones de seguridad. Para más información, consulte Supervisión de la referencia de datos de AKS.
  • Habilitar la detección de amenazas con Microsoft Defender para contenedores: active Defender para que los contenedores reciban alertas de detección de amenazas en tiempo de ejecución para nodos de clúster, cargas de trabajo y el plano de control de Kubernetes. Para obtener más información, consulte Introducción a Microsoft Defender para contenedores.

Cumplimiento y gobernanza

Use Azure Policy para aplicar configuraciones de seguridad de forma coherente en los clústeres de AKS y evitar que se implementen cargas de trabajo no conformes.

  • Aplicar la configuración de clúster y carga de trabajo con Azure Policy para AKS: habilite el complemento Azure Policy y asigne la iniciativa de directiva integrada de AKS para auditar y aplicar controles como registros aprobados, límites de recursos y contenedores con privilegios bloqueados. Para obtener más información, consulte Asegure los clústeres de AKS con Azure Policy.
  • Aplicación de medidas de seguridad de implementación para los procedimientos recomendados de Kubernetes: habilite las medidas de seguridad de implementación para validar los recursos del clúster con los procedimientos recomendados de AKS en modo de advertencia o cumplimiento. Para más información, consulte Uso de medidas de seguridad de implementación para aplicar procedimientos recomendados en AKS.
  • Asignar definiciones de directivas integradas de AKS para aplicar controles específicos: asigne definiciones de Azure Policy integradas para que AKS aplique controles individuales, como requerir intervalos IP autorizados o clústeres privados, deshabilitar contenedores con privilegios y aplicar equilibradores de carga internos. Para obtener más información, consulte las definiciones integradas de Azure Policy para AKS.

Copia de seguridad y recuperación

Proteja el estado del clúster y los datos de la aplicación para que pueda recuperarse de la eliminación accidental, los daños o una actualización errónea.

  • Haga una copia de seguridad del estado del clúster y de los volúmenes persistentes con AKS Backup: use AKS Backup con un almacén de copias de seguridad para programar copias de seguridad de los recursos del clúster y de los volúmenes persistentes respaldados por Azure Disk y Azure Files (SMB), y para restaurar un espacio de nombres o un clúster completo. Para obtener más información, consulte ¿Qué es Azure Kubernetes Service (AKS) copia de seguridad?.
  • Otorgue acceso de copia de seguridad con Trusted Access en lugar de permisos generales: Habilite Trusted Access para que el almacén de copias de seguridad pueda acceder al clúster con permisos de alcance limitado en lugar de requerir acceso administrativo permanente. Para obtener más información, consulte Habilitación de recursos de Azure para acceder a clústeres de AKS mediante acceso seguro.

Pasos siguientes

  • Última actualización el