Bagikan melalui

Keamanan kontainer di AKS diaktifkan oleh Azure Arc

  • Artikel

Berlaku untuk: AKS di Azure Stack HCI 22H2, AKS di Windows Server

Artikel ini menjelaskan berbagai metode untuk mengamankan kontainer yang digunakan untuk mengemas dan menyebarkan aplikasi dan menghindari memperkenalkan kerentanan keamanan di AKS yang diaktifkan oleh Azure Arc.

Kontainer memberikan manfaat operasional dan keamanan karena aplikasi dan layanan dipisahkan dalam lingkungan. Kontainer juga membantu mengurangi efek kegagalan di seluruh sistem karena abstraksinya, yang memastikan waktu aktif dan mencegah serangan yang dapat membahayakan aplikasi atau layanan. Kontainer biasanya berjalan pada lapisan abstrak di atas sistem operasi host, dan abstraksi menawarkan beberapa penghalang pemisahan dan kesempatan untuk menerapkan model pertahanan berlapis.

Anda juga dapat mengatur keamanan kontainer berkelanjutan dengan mengamankan pipeline kontainer, aplikasi, dan lingkungan penyebaran kontainer. Bagian berikut menjelaskan beberapa praktik yang direkomendasikan untuk menerapkan keamanan kontainer.

Mengamankan gambar

Untuk mencegah akses tidak sah, host gambar pada registri yang aman dan tepercaya. Gambar harus memiliki sertifikat TLS dengan CA akar tepercaya, dan registri harus menggunakan kontrol akses berbasis peran (RBAC) dengan autentikasi yang kuat. Anda harus menyertakan solusi pemindaian gambar saat merancang CI / CD untuk pembuatan dan pengiriman kontainer. Solusi pemindaian gambar membantu mengidentifikasi kerentanan dan paparan umum (CVE) dan memastikan bahwa gambar yang dapat dieksploitasi tidak disebarkan tanpa remediasi.

Mengeraskan lingkungan host

Aspek penting dari keamanan kontainer adalah kebutuhan untuk mengeraskan keamanan sistem yang dijalankan kontainer Anda, dan cara mereka bertindak selama runtime. Keamanan kontainer harus fokus pada seluruh tumpukan, termasuk hosting dan daemon Anda. Anda harus menghapus layanan dari host yang tidak kritis, dan Anda tidak boleh menyebarkan kontainer yang tidak sesuai di lingkungan. Dengan demikian, akses ke host hanya dapat terjadi melalui kontainer dan kontrol dipusatkan ke daemon kontainer, menghapus host dari permukaan serangan. Langkah-langkah ini sangat membantu ketika Anda menggunakan server proksi untuk mengakses kontainer Anda, yang secara tidak sengaja dapat melewati kontrol keamanan kontainer Anda.

Batasi sumber daya kontainer

Ketika kontainer disusupi, penyerang mungkin mencoba menggunakan sumber daya host yang mendasar untuk melakukan aktivitas berbahaya. Ini adalah praktik yang baik untuk menetapkan batas penggunaan memori dan CPU untuk meminimalkan dampak pelanggaran.

Rahasia yang aman dengan benar

Rahasia adalah objek yang berisi informasi sensitif yang mungkin perlu diteruskan antara host dan kontainer; misalnya, kata sandi, sertifikat SSL/TLS, kunci privat SSH, token, string koneksi, dan data lain yang tidak boleh dikirimkan dalam teks biasa atau disimpan tidak terenkripsi. Anda harus menyimpan semua rahasia dari gambar dan memasangnya melalui mesin orkestrasi kontainer atau manajer rahasia eksternal.

Berlatih isolasi

Gunakan isolasi, dan jangan gunakan pengguna istimewa atau pengguna root untuk menjalankan aplikasi dalam kontainer. Hindari menjalankan kontainer dalam mode istimewa karena melakukannya dapat memungkinkan penyerang untuk dengan mudah meningkatkan hak istimewa jika kontainer disusupi. Mengetahui UID (Unique Identification Code) dan GID (Group Identification Code) dari pengguna root dalam kontainer dapat memungkinkan penyerang untuk mengakses dan memodifikasi file yang ditulis oleh root pada mesin host. Penting juga untuk menggunakan prinsip hak istimewa paling sedikit di mana aplikasi hanya memiliki akses ke rahasia yang dibutuhkannya. Anda dapat membuat pengguna aplikasi untuk menjalankan proses aplikasi.

Menyebarkan pemantauan keamanan runtime

Karena masih ada kemungkinan dikompromikan bahkan setelah mengambil tindakan pencegahan terhadap serangan terhadap infrastruktur Anda, penting untuk terus memantau dan mencatat perilaku aplikasi untuk mencegah dan mendeteksi aktivitas berbahaya. Alat seperti Prometheus menyediakan cara yang efektif untuk memantau infrastruktur Anda.

Langkah berikutnya