Share via


Segurança de clusters e aplicações

Familiarize-se com os fundamentos de segurança do Kubernetes e revise a configuração segura para clusters e as diretrizes de segurança de aplicativos. A segurança do Kubernetes é importante durante todo o ciclo de vida do contêiner devido à natureza distribuída e dinâmica de um cluster do Kubernetes. Os aplicativos são tão seguros quanto o elo mais fraco da cadeia de serviços que compõem a segurança do aplicativo.

Planeje, treine e comprove

À medida que você começa, a lista de verificação de fundamentos de segurança e os recursos de segurança do Kubernetes abaixo ajudarão você a planejar operações de cluster e segurança de aplicativos. No final desta seção, você poderá responder a estas perguntas:

  • Você analisou o modelo de segurança e ameaças dos clusters Kubernetes?
  • Seu cluster está habilitado para o controle de acesso baseado em função do Kubernetes?

Lista de verificação de segurança:

Implante na produção e aplique as práticas recomendadas de segurança do Kubernetes

Ao preparar o aplicativo para produção, implemente um conjunto mínimo de práticas recomendadas. Utilize esta lista de verificação nesta fase. No final desta seção, você poderá responder a estas perguntas:

  • Você configurou regras de segurança de rede para entrada, saída e comunicação intra-pod?
  • O cluster está configurado para aplicar automaticamente as atualizações de segurança do nó?
  • Você está executando uma solução de verificação de segurança para seus serviços de cluster e contêiner?

Lista de verificação de segurança:

  • Controle o acesso a clusters usando a associação ao grupo. Configure o controle de acesso baseado em função do Kubernetes (Kubernetes RBAC) para limitar o acesso aos recursos do cluster com base na identidade do usuário ou na associação ao grupo. Para obter mais informações, consulte Controlar o acesso a recursos de cluster usando identidades Kubernetes RBAC e Microsoft Entra.

  • Crie uma política de gerenciamento de segredos. Implante e gerencie com segurança informações confidenciais, como senhas e certificados, usando o gerenciamento de segredos no Kubernetes. Para obter mais informações, consulte Compreender o gerenciamento de segredos no Kubernetes (vídeo).

  • Proteja o tráfego de rede intrapod com políticas de rede. Aplique o princípio do menor privilégio para controlar o fluxo de tráfego de rede entre pods no cluster. Para obter mais informações, consulte Proteger o tráfego intrapod com políticas de rede.

  • Restrinja o acesso ao servidor de API usando IPs autorizados. Melhore a segurança do cluster e minimize a superfície de ataque limitando o acesso ao servidor de API a um conjunto limitado de intervalos de endereços IP. Para obter mais informações, consulte Acesso seguro ao servidor de API.

  • Restrinja o tráfego de saída do cluster. Saiba quais portas e endereços permitir se você restringir o tráfego de saída para o cluster. Você pode usar o Firewall do Azure ou um dispositivo de firewall de terceiros para proteger seu tráfego de saída e definir essas portas e endereços necessários. Para saber mais, consulte Controlar o tráfego de saída para nós de cluster no AKS.

  • Proteja o tráfego com o Web Application Firewall (WAF). Use o Gateway de Aplicativo do Azure como um controlador de entrada para clusters Kubernetes. Para obter mais informações, consulte Configurar o Gateway de Aplicativo do Azure como um controlador de entrada.

  • Aplique atualizações de segurança e kernel aos nós de trabalho. Entenda a experiência de atualização do nó AKS. Para proteger seus clusters, as atualizações de segurança são aplicadas automaticamente aos nós Linux no AKS. Essas atualizações incluem correções de segurança do sistema operacional ou atualizações do kernel. Algumas dessas atualizações exigem uma reinicialização do nó para concluir o processo. Para saber mais, consulte Usar kured para reinicializar automaticamente nós para aplicar atualizações.

  • Configure uma solução de verificação de contêiner e cluster. Analise contêineres enviados por push para o Registro de Contêiner do Azure e obtenha visibilidade mais profunda para seus nós de cluster, tráfego de nuvem e controles de segurança.

    Para mais informações, consulte:

Otimize e dimensione

Agora que o aplicativo está em produção, como você pode otimizar seu fluxo de trabalho e preparar seu aplicativo e sua equipe para escalar? Use a lista de verificação de otimização e dimensionamento para se preparar. No final desta seção, você poderá responder a esta pergunta:

  • É possível aplicar políticas de governança e cluster em escala?

Lista de verificação de segurança:

  • Aplique políticas de governança de cluster. Aplique imposições e proteções em escala em seus clusters de maneira centralizada e consistente. Para saber mais, consulte Controlar implantações com a Política do Azure.

  • Gire certificados de cluster periodicamente. O Kubernetes usa certificados para autenticação com muitos de seus componentes. Talvez você queira alternar periodicamente esses certificados por motivos de segurança ou política. Para saber mais, consulte Girar certificados no Serviço Kubernetes do Azure (AKS).