Sécuriser les applications dans AKS

Solutions de calcul Azure

Florin Angelescu

Azure Cloud Architect

Pourquoi la sécurité compte

Kubernetes

Essentiel en production.
Les conteneurs et Kubernetes ajoutent de la complexité.
Les charges de travail peuvent être exposées à des risques.

Pourquoi la sécurité compte

Kubernetes

AKS s'intègre à l'écosystème de sécurité d'Azure pour protéger :
- Applications
- Données
- Utilisateurs
Bonnes pratiques de sécurité :
- Renforcer la confiance des clients et parties prenantes
- Prouver que les charges sont résilientes et bien gérées

Contrôle d'accès basé sur les rôles (RBAC)

Kubernetes

Contrôler qui peut agir dans le cluster.

Contrôle d'accès basé sur les rôles (RBAC)

Kubernetes

Contrôler qui peut agir dans le cluster.
S'intègre à Entra ID :
- Attribuer des rôles aux utilisateurs ou aux groupes
Seules les personnes autorisées peuvent déployer, mettre à l'échelle ou modifier des charges.

Contrôle d'accès basé sur les rôles (RBAC)

Kubernetes

Les développeurs ont les autorisations pour déployer des applis.
Les opérateurs gèrent la mise à l'échelle et la surveillance.
Des rôles granulaires réduisent les risques de changements fortuits ou malveillants.

Gestion des secrets

Secrets

Les applications exigent des informations sensibles :
- Mots de passe
- Clés d'API
- Certificats
Kubernetes les stocke comme secrets.
Montage sécurisé dans les pods possible.

Gestion des secrets

Key Vault

Les secrets peuvent s'intégrer à Azure Key Vault :
- Gestion centralisée et chiffrement
Aucune donnée sensible en dur dans les images ou manifestes.
Réduit les risques de fuite.
Faites pivoter les secrets régulièrement.

Sécurité réseau

Réseautage

Les clusters AKS s'exécutent dans des réseaux virtuels Azure :
- Groupes de sécurité réseau
- Pare-feu

Sécurité réseau

Réseautage

Les clusters AKS s'exécutent dans des réseaux virtuels Azure :
- Groupes de sécurité réseau
- Pare-feu
Restreindre le trafic entre pods.
Appliquer des politiques.
Isoler les charges.

Sécurité réseau

Réseautage

Contrôleurs Ingress :
- Configurés avec des certificats TLS
- Sécurisent le trafic externe

Sécurité réseau

Réseautage

Contrôleurs Ingress :
- Configurés avec des certificats TLS
- Sécurisent le trafic externe
Politiques réseau :
- Définir quels pods peuvent communiquer
- Réduire la surface d'attaque

Sécurité des images

Images de conteneurs :
- Base des charges
- Doivent être fiables
Azure Container Registry :
- Prend en charge l'analyse d'images
- Détecter les vulnérabilités avant le déploiement

Sécurité des images

Politiques

Seules les images signées ou approuvées sont autorisées dans le cluster.

Sécurité des images

Mettre à jour les images de base et appliquer les correctifs :
- Garder les charges sécurisées
Validation des images :
- Empêcher l'entrée en production de logiciels compromis

Surveillance et conformité

La surveillance continue est essentielle pour détecter les menaces.

Azure Defender for Kubernetes

Protection à l'exécution.
Détection d'activités suspectes :
- Escalade de privilèges
- Trafic réseau anormal
Outils de conformité :
- Les clusters respectent les normes internes ou réglementaires

Récapitulatif

Kubernetes

Sécuriser les applications dans AKS :

Contrôle d'accès basé sur les rôles
Gestion des secrets
Contrôles réseau
Validation des images
Surveillance continue

Passons à la pratique !

Solutions de calcul Azure

Preparing Video For Download...