Безопасность приложений в AKS

Вычислительные решения Azure

Florin Angelescu

Azure Cloud Architect

Почему безопасность важна

 

Kubernetes

 

 

  • Критически важно в любой производственной среде.
  • Контейнеры и Kubernetes добавляют новые уровни сложности.
  • Рабочие нагрузки могут подвергаться рискам.
Вычислительные решения Azure

Почему безопасность важна

 

Kubernetes

 

  • AKS интегрируется с экосистемой безопасности Azure для защиты:

    • Приложений
    • Данных
    • Пользователей

  • Надёжные практики безопасности:

    • Формируют доверие у клиентов и заинтересованных сторон
    • Подтверждают устойчивость и управляемость рабочих нагрузок
Вычислительные решения Azure

Управление доступом на основе ролей (RBAC)

Kubernetes

  • Контроль над тем, кто может выполнять действия в кластере.
Вычислительные решения Azure

Управление доступом на основе ролей (RBAC)

Kubernetes

  • Контроль над тем, кто может выполнять действия в кластере.

  • Интеграция с Entra ID:

    • Назначение ролей пользователям или группам

  • Только авторизованные пользователи могут развёртывать, масштабировать или изменять рабочие нагрузки.

Вычислительные решения Azure

Управление доступом на основе ролей (RBAC)

Kubernetes

  • Разработчики имеют права на развёртывание приложений.
  • Операторы управляют масштабированием и мониторингом.
  • Детальное назначение ролей снижает риск случайных или злонамеренных изменений.
Вычислительные решения Azure

Управление секретами

 

Secrets

 

  • Приложениям требуется конфиденциальная информация:

    • Пароли
    • Ключи API
    • Сертификаты

  • Kubernetes хранит эти данные в виде секретов.

  • Их можно безопасно монтировать в поды.
Вычислительные решения Azure

Управление секретами

 

Key Vault

 

  • Секреты можно интегрировать с Azure Key Vault:
    • Централизованное управление и шифрование
  • Конфиденциальные данные не встраиваются в образы или манифесты.
  • Снижает риск утечек.
  • Регулярно обновляйте секреты.
Вычислительные решения Azure

Сетевая безопасность

 

Networking

 

  • Кластеры AKS работают внутри виртуальных сетей Azure:
    • Группы безопасности сети
    • Брандмауэры
Вычислительные решения Azure

Сетевая безопасность

 

Networking

 

  • Кластеры AKS работают внутри виртуальных сетей Azure:

    • Группы безопасности сети
    • Брандмауэры

  • Ограничение трафика между подами.

  • Применение политик.
  • Изоляция рабочих нагрузок.
Вычислительные решения Azure

Сетевая безопасность

 

Networking

 

  • Контроллеры входящего трафика (Ingress):
    • Настроены с TLS-сертификатами
    • Защищают внешний трафик
Вычислительные решения Azure

Сетевая безопасность

 

Networking

 

  • Контроллеры входящего трафика (Ingress):

    • Настроены с TLS-сертификатами
    • Защищают внешний трафик

  • Сетевые политики:

    • Определяют, какие поды могут взаимодействовать
    • Сокращают поверхность атаки
Вычислительные решения Azure

Безопасность образов

 

Image

 

  • Образы контейнеров:

    • Основа рабочих нагрузок
    • Должны быть доверенными

  • Azure Container Registry:

    • Поддерживает сканирование образов
    • Обнаруживает уязвимости до развёртывания
Вычислительные решения Azure

Безопасность образов

 

Image

 

 

Политики

  • В кластере разрешены только подписанные или одобренные образы.
Вычислительные решения Azure

Безопасность образов

 

Image

  • Обновляйте базовые образы и применяйте патчи:

    • Поддерживайте безопасность рабочих нагрузок

  • Проверка образов:

    • Предотвращает попадание скомпрометированного ПО в производственную среду
Вычислительные решения Azure

Мониторинг и соответствие требованиям

 

Image

  • Непрерывный мониторинг необходим для обнаружения угроз.

Azure Defender for Kubernetes

  • Защита в режиме реального времени.

  • Обнаружение подозрительной активности:

    • Повышение привилегий
    • Аномальный сетевой трафик

  • Инструменты соответствия требованиям:

    • Кластеры соответствуют корпоративным или нормативным стандартам
Вычислительные решения Azure

Итоги

 

Kubernetes

 

Защита приложений в AKS:

  • Управление доступом на основе ролей
  • Управление секретами
  • Сетевые средства контроля
  • Проверка образов
  • Непрерывный мониторинг
Вычислительные решения Azure

Давайте потренируемся!

Вычислительные решения Azure

Preparing Video For Download...