Proteja a sua plataforma

Proteger sua plataforma é fundamental para melhorar a segurança geral do seu ambiente Kubernetes. Este artigo se concentra na configuração do cluster Kubernetes, do sistema operacional subjacente e da infraestrutura de hardware para operar com mais segurança. Ao aproveitar os recursos internos e seguir as práticas recomendadas, você pode ajudar a garantir que sua plataforma seja mais resiliente contra ameaças e forneça uma base mais sólida para suas cargas de trabalho e operações.

Mantenha-se atualizado com os patches de segurança mais recentes

Recomendamos atualizar o sistema operacional do cluster e do nó com os patches de segurança mais recentes à medida que são publicados. Por sua vez, isso significa que é importante manter seu cluster atualizado com uma versão suportada do Kubernetes, para a qual os patches são lançados. Da mesma forma, também é importante manter os seus nós atualizados com uma versão suportada do seu sistema operativo.

Se você estiver usando o AKS habilitado pelo Azure Arc no Azure Local, é fácil aplicar essas atualizações. Também é fácil atualizar o próprio Azure Local.

Se você conectar seu próprio cluster por meio do Kubernetes habilitado para Arc, mantenha-o atualizado seguindo as orientações do seu fornecedor e configure atualizações automáticas para os agentes Kubernetes habilitados para Arc que mantêm a conexão do cluster com o Azure.

Você também pode implantar extensões em seu cluster: outras seções deste livro de segurança recomendam muitas dessas extensões pelos benefícios de segurança que elas podem ajudar a trazer. Em caso afirmativo, configure atualizações automáticas para essas extensões também.

Referências

Configurar proteções de segurança no plano de controle e nos nós de trabalho

O AKS habilitado pelo Azure Arc no Azure Local configura automaticamente seu plano de controle e nós de trabalho com padrões mais seguros. Ele ativa os recursos de segurança apropriados no hardware subjacente, no sistema operacional host Windows e nos nós e sistema de arquivos da VM Linux. Leia o livro de segurança do Azure Local para saber mais sobre como proteger esta plataforma. Você também pode analisar os benefícios do sistema operacional Linux do Azure, que o AKS habilitado pelo Azure Arc usa como seu host de contêiner.

Se ligar o seu próprio cluster através do Kubernetes compatível com Arc, confirme se o seu fornecedor pode também ajudar a configurar automaticamente padrões seguros no seu hardware, sistema operativo e na camada de Kubernetes. Avalie se eles têm recursos apropriados, como raiz de confiança de hardware, inicialização segura e criptografia de disco. Considere também se o Microsoft Defender for Endpoint pode ajudar a proteger ainda mais os nós do cluster.

Além disso, quer o cluster seja totalmente gerido pela Microsoft ou ligue o seu próprio cluster, pode utilizar o Microsoft Defender for Containers. Ele ajuda a avaliar a integridade de seus nós do Kubernetes e notificá-lo de quaisquer problemas. Consulte a matriz de suporte para saber quais recursos são suportados em cada tipo de cluster e nível (visualização ou disponibilidade geral).

Referências

Proteja a comunicação entre os componentes do plano de controle do Kubernetes

Se você estiver executando o AKS habilitado pelo Azure Arc no Azure Local, o Transport Layer Security (TLS) será usado para ajudar a proteger toda a comunicação entre nós entre componentes do plano de controle, como o servidor de API e etcd. Os certificados TLS são alternados regularmente.

Se você conectar seu próprio cluster via Kubernetes habilitado para Arc, determine se o tráfego entre seus nós está protegido da mesma forma. Avalie se há alguma etapa necessária para habilitar essa proteção (por exemplo, criar e atualizar certificados) seguindo as orientações do fornecedor.

Referências

Proteja o acesso direto aos seus nós

Em geral, não recomendamos o acesso direto aos nós do cluster. É melhor administrar seu cluster por meio do servidor de API, e Role-Based Controle de Acesso (RBAC) pode ajudá-lo a controlar quais usuários podem executar quais operações. Consulte as nossas orientações adicionais sobre este tópico.

Portanto, o acesso SSH aos nós de trabalho deve ser desabilitado por padrão. No entanto, se esse acesso provar ser necessário e você estiver executando o AKS habilitado pelo Azure Arc no Azure Local, é importante gerenciá-lo com cuidado. Armazene com segurança as chaves SSH ao criar o cluster e restrinja o acesso SSH apenas aos endereços de rede esperados. Além dessa exceção limitada, não deve haver outra maneira de alcançar os nós do plano de controle e os componentes de infraestrutura do Kubernetes que são executados neles, como kube-scheduler, etcd, kubelet.

Finalmente, como os clusters de borda geralmente residem em locais não seguros, considere quais proteções físicas são apropriadas (acesso controlado, medidas de aparente violação, etc.).

Referências

Próximos passos

  • Última atualização a