Protegendo aplicativos no AKS

Azure Compute Solutions

Florin Angelescu

Azure Cloud Architect

Por que segurança importa

Kubernetes

Crítica em qualquer ambiente de produção.
Containers e Kubernetes trazem novas camadas de complexidade.
Cargas podem ficar expostas a riscos.

Por que segurança importa

Kubernetes

AKS integra com o ecossistema de segurança da Azure para proteger:
- Aplicativos
- Dados
- Usuários
Boas práticas de segurança:
- Geram confiança de clientes e stakeholders
- Provam que as cargas são resilientes e bem gerenciadas

Controle de acesso baseado em função (RBAC)

Kubernetes

Controla quem pode executar ações no cluster.

Controle de acesso baseado em função (RBAC)

Kubernetes

Controla quem pode agir no cluster.
Integra com Entra ID:
- Atribui funções a usuários ou grupos
Só pessoas autorizadas podem implantar, escalar ou alterar cargas.

Controle de acesso baseado em função (RBAC)

Kubernetes

Devs têm permissão para implantar apps.
Operadores gerenciam escala e monitoramento.
Funções granulares reduzem risco de mudanças acidentais ou maliciosas.

Gerenciamento de secrets

Secrets

Apps precisam de informações sensíveis:
- Senhas
- Chaves de API
- Certificados
O Kubernetes armazena isso como secrets.
Podem ser montados nos pods com segurança.

Gerenciamento de secrets

Key Vault

Secrets podem integrar com o Azure Key Vault:
- Gestão centralizada e criptografia
Dados sensíveis não ficam hard-coded em imagens ou manifestos.
Reduz o risco de vazamentos.
Faça rotação de secrets regularmente.

Segurança de rede

Networking

Clusters AKS rodam em Azure Virtual Networks:
- Network Security Groups
- Firewalls

Segurança de rede

Networking

Clusters AKS rodam em Azure Virtual Networks:
- Network Security Groups
- Firewalls
Restrinja tráfego entre pods.
Aplique políticas.
Isole cargas.

Segurança de rede

Networking

Controladores de Ingress:
- Configurados com certificados TLS
- Protegem tráfego externo

Segurança de rede

Networking

Controladores de Ingress:
- Configurados com certificados TLS
- Protegem tráfego externo
Políticas de rede:
- Definem quais pods podem se comunicar
- Reduzem a superfície de ataque

Segurança de imagens

Imagens de container:
- Base das cargas
- Devem ser confiáveis
Azure Container Registry:
- Suporta varredura de imagens
- Detecta vulnerabilidades antes da implantação

Segurança de imagens

Políticas

Só imagens assinadas ou aprovadas são permitidas no cluster.

Segurança de imagens

Atualize imagens base e aplique patches:
- Mantém as cargas seguras
Validação de imagens:
- Evita software comprometido em produção

Monitoramento e conformidade

Monitoramento contínuo é essencial para detectar ameaças.

Azure Defender for Kubernetes

Proteção em runtime.
Detecta atividade suspeita:
- Escalada de privilégios
- Tráfego de rede anormal
Ferramentas de conformidade:
- Clusters atendem a padrões organizacionais ou regulatórios

Recapitulando

Kubernetes

Protegendo apps no AKS:

RBAC
Gerenciamento de secrets
Controles de rede
Validação de imagens
Monitoramento contínuo

Vamos praticar!

Azure Compute Solutions

Preparing Video For Download...