Konsep keamanan di AKS diaktifkan oleh Azure Arc
Berlaku untuk: AKS di Azure Stack HCI 22H2, AKS di Windows Server
Keamanan di AKS yang diaktifkan oleh Azure Arc melibatkan pengamanan infrastruktur dan aplikasi yang berjalan pada kluster Kubernetes. AKS yang diaktifkan oleh Arc mendukung opsi penyebaran hibrid untuk Azure Kubernetes Service (AKS). Artikel ini menjelaskan langkah-langkah pengerasan keamanan dan fitur keamanan bawaan yang digunakan untuk mengamankan infrastruktur dan aplikasi pada kluster Kubernetes.
Keamanan infrastruktur
AKS yang diaktifkan oleh Arc menerapkan berbagai langkah keamanan untuk mengamankan infrastrukturnya. Diagram berikut menekankan langkah-langkah ini:
Tabel berikut ini menjelaskan aspek pengerasan keamanan AKS di Azure Stack HCI yang diperlihatkan dalam diagram sebelumnya. Untuk informasi latar belakang konseptual tentang infrastruktur untuk penyebaran AKS, lihat Kluster dan beban kerja.
| Aspek keamanan | Deskripsi |
|---|---|
| 1 | Karena host AKS memiliki akses ke semua kluster beban kerja (target), kluster ini dapat menjadi satu titik penyusupan. Namun, akses ke host AKS dikontrol dengan hati-hati karena tujuan kluster manajemen terbatas pada penyediaan kluster beban kerja dan pengumpulan metrik kluster agregat. |
| 2 | Untuk mengurangi biaya penyebaran dan kompleksitas, kluster beban kerja berbagi Windows Server yang mendasarinya. Namun, tergantung pada kebutuhan keamanan, admin dapat memilih untuk menerapkan kluster beban kerja di Server Windows khusus. Ketika kluster beban kerja berbagi Windows Server yang mendasarinya, setiap kluster disebarkan sebagai mesin virtual, yang memastikan jaminan isolasi yang kuat antara kluster beban kerja. |
| 3 | Beban kerja pelanggan digunakan sebagai kontainer dan berbagi mesin virtual yang sama. Kontainer diisolasi dari proses satu sama lain, yang merupakan bentuk isolasi yang lebih lemah dibandingkan dengan jaminan isolasi yang kuat yang ditawarkan oleh mesin virtual. |
| 4 | Kontainer berkomunikasi satu sama lain melalui jaringan overlay. Admin dapat mengonfigurasi kebijakan Calico untuk menentukan aturan isolasi jaringan antar kontainer. Dukungan kebijakan Calico pada AKS Arc hanya untuk kontainer Linux, dan didukung apa adanya. |
| 5 | Komunikasi antara komponen Kubernetes bawaan AKS di Azure Stack HCI, termasuk komunikasi antara server API dan host kontainer, dienkripsi melalui sertifikat. AKS menawarkan provisi sertifikat, perpanjangan, dan pencabutan sertifikat bawaan di luar kotak. |
| 6 | Komunikasi dengan server API dari komputer klien Windows diamankan menggunakan kredensial Microsoft Entra untuk pengguna. |
| 7 | Untuk setiap rilis, Microsoft menyediakan VHD untuk VM AKS di Azure Stack HCI dan menerapkan patch keamanan yang sesuai saat diperlukan. |
Keamanan aplikasi
Tabel berikut menjelaskan berbagai opsi keamanan aplikasi yang tersedia di AKS yang diaktifkan oleh Arc:
Catatan
Anda memiliki opsi untuk menggunakan opsi penguatan aplikasi sumber terbuka yang tersedia di ekosistem sumber terbuka yang Anda pilih.
| Opsi | Deskripsi |
|---|---|
| Keamanan {i>Build | Tujuan mengamankan build adalah untuk mencegah kerentanan diperkenalkan dalam kode aplikasi atau dalam gambar kontainer saat gambar dihasilkan. Integrasi dengan Azure GitOps kubernetes, yang diaktifkan Azure Arc, membantu analisis dan pengamatan, yang memberi pengembang kesempatan untuk memperbaiki masalah keamanan. Untuk informasi selengkapnya, lihat Menyebarkan konfigurasi menggunakan GitOps pada kluster Kubernetes berkemampuan Azure Arc. |
| Keamanan registri kontainer | Tujuan keamanan registri kontainer adalah untuk memastikan kerentanan tidak muncul saat mengunggah gambar kontainer ke registri, saat gambar disimpan dalam registri, dan selama unduhan gambar dari registri. AKS merekomendasikan penggunaan Azure Container Registry. Azure Container Registry dilengkapi dengan pemindaian kerentanan dan fitur keamanan lainnya. Untuk informasi selengkapnya, lihat dokumentasi Azure Container Registry. |
| Identitas Microsoft Entra untuk beban kerja Windows menggunakan gMSA untuk kontainer | Windows beban kerja kontainer dapat mewarisi identitas host kontainer dan menggunakannya untuk autentikasi. Dengan penyempurnaan baru, host kontainer tidak perlu bergabung dengan domain. Untuk informasi selengkapnya, lihat integrasi gMSA untuk beban kerja Windows. |
Fitur keamanan bawaan
Bagian ini menjelaskan fitur keamanan bawaan yang saat ini tersedia di AKS yang diaktifkan oleh Azure Arc:
| Tujuan keamanan | Fitur |
|---|---|
| Lindungi akses ke server API. | Dukungan masuk tunggal Active Directory untuk klien PowerShell dan Windows Admin Center. Fitur ini hanya diaktifkan untuk kluster beban kerja. |
| Pastikan semua komunikasi antara komponen Kubernetes bawaan dari sarana kontrol aman. Ini termasuk memastikan bahwa komunikasi antara server API dan kluster beban kerja juga aman. | Solusi sertifikat bawaan zero touch untuk menyediakan, memperbarui, dan mencabut sertifikat. Untuk informasi selengkapnya, lihat Mengamankan komunikasi dengan sertifikat. |
| Putar kunci enkripsi dari toko rahasia Kubernetes (dll) menggunakan plug-in Key Management Server (KMS). | Plug-in untuk mengintegrasikan dan mengatur rotasi kunci dengan penyedia KMS tertentu. Untuk mempelajari selengkapnya, lihat Mengenkripsi rahasia dll. |
| Pemantauan ancaman real time untuk kontainer yang mendukung beban kerja untuk kontainer Windows dan Linux. | Integrasi dengan Azure Defender untuk Kubernetes yang terhubung ke Azure Arc, yang ditawarkan sebagai fitur pratinjau publik hingga rilis GA deteksi ancaman Kubernetes untuk Kubernetes yang terhubung ke Azure Arc. Untuk informasi selengkapnya, lihat Mempertahankan kluster Kubernetes dengan dukungan Azure Arc. |
| Identitas Microsoft Entra untuk beban kerja Windows. | Gunakan integrasi gMSA untuk beban kerja Windows untuk mengonfigurasi identitas Microsoft Entra. |
| Dukungan untuk kebijakan Calico untuk mengamankan lalu lintas antar pod | Kontainer berkomunikasi satu sama lain melalui jaringan overlay. Admin dapat mengonfigurasi kebijakan Calico untuk menentukan aturan isolasi jaringan antar kontainer. Dukungan kebijakan Calico pada AKS Arc hanya untuk kontainer Linux, dan didukung apa adanya. |
Langkah berikutnya
Dalam topik ini, Anda belajar tentang konsep untuk mengamankan AKS yang diaktifkan oleh Azure Arc, dan tentang mengamankan aplikasi pada kluster Kubernetes.