查找相似内容

分享一份《#Kubernetes 源码架构图》，里面包含了 200 余张制作精美风格一致的源码设计图，覆盖主要组件包括 API Server，Controller，Scheduler，Proxy，Client 等，同时还有 #Docker， #Golang 等相关部分。 https://www.yuque.com/abser/kubernetes

👩‍💻 Attacking Kubernetes. • Самое известное средство контейнеризации и автоматизации развертывания приложений — #Docker. Известное, но не единственное: достойную конкуренцию ему составляет Kubernetes. Разумеется, он тоже представляет определенный интерес для злоумышленников. Как защитить Kubernetes от взлома? Об этом — сегодняшняя статья: - Restrict Kubernetes API access to specific IP ranges; - Use Role-Based Access Control (RBAC); - Enable PodSecurityPolicy (PSP); - Use Network Policies; - Enable Audit Logging; - Use Secure Service Endpoints; - Use Pod Security Context; - Use Kubernetes Secrets; - Enable Container Runtime Protection; - Enable Admission Controllers; - Hardcoded Credential; - Container Escape Attack; - Kubernetes API Server Attack; - Pod-to-Pod Network Attack; - Privilege Escalation Attack; - Denial-of-Service (DoS) Attack; - Kubernetes Threat Matrix. #Kubernetes

📦 Первые контейнеры. • Первые контейнеры, официально называвшиеся именно этим термином, появились в феврале 2004 года в операционной системе Solaris 10 от Sun Microsystems, они использовались на серверах с архитектурой x86 и SPARC. Solaris Containers включали в себя изолированные «песочницы» для запуска ОС (в терминологии разработчика они назывались «зонами»), а также инструменты управления системными ресурсами, допускавшими создание «моментальных снимков» отдельных зон и их клонирование. То есть, механизмы оркестрации. • Зоны представляли собой полностью изолированные виртуальные серверы внутри хостовой операционной системы. Каждый такой экземпляр ОС имел собственное сетевое имя, использовал выделенные сетевые интерфейсы, собственную файловую систему, набор пользователей (включая root) и конфигурацию. При этом для работы виртуального сервера не требовалось жестко выделять память или процессор — аппаратные ресурсы использовались общие, однако при необходимости администратор имел возможность зарезервировать определенные серверные мощности для какой-то конкретной зоны. Процессы внутри контейнеров выполнялись изолированно, не имели доступа друг к другу и потому не могли конфликтовать. • Основным отличием Solaris Containers от предшественников (Process Containers, LXC и Warden, #Docker и #Kubernetes) можно назвать то обстоятельство, что, как и ранее, виртуальные ОС использовали ядро хостовой системы, но при желании администратор мог запускать копии системы в контейнерах с собственным ядром. Это стало следующим важным шагом в эволюции технологий контейнеризации. #Разное

• Нашел очень полезный ресурс, который содержит информацию по обеспечению безопасности контейнеров. Есть информация как для Red Team, так и для Blue Team. Рекомендую к изучению: ➡️https://www.container-security.site ➡API Security; ➡Attacker Manifests; ➡Attackers - Compromised Container Checklist; ➡Attackers - Compromised User Credential Checklist; ➡Attackers - External Checklist; ➡Container & Kubernetes Security Tools; ➡Container Breakout Vulnerabilities; ➡Container CVE List; ➡Container Security Site; ➡Container Security Standards; ➡Container Terms for Security People; ➡Defenders - Container Image Hardening; ➡Kubernetes Security Architecture Considerations; ➡Kubernetes persistence checklist; ➡Node/Proxy in Kubernetes RBAC; ➡PCI Container Orchestration Guidance for Kubernetes; ➡Reading List; ➡Security Research; ➡Security Terms For Container People; ➡Support Lifecycles for container software and services. #ИБ#docker#Kubernetes

• Если помните, то несколько месяцев назад я делился с вами очень крутым материалом, где подробно описан опыт автора по ручному развертыванию Kubernetes без использования автоматизированных инструментов. Так вот, есть еще одна статья, не менее интересная и полезная. На этот раз автор описывает настройки аудита в Kubernetes, его возможности и примеры конфигураций, которые помогут вам сформировать эффективную политику аудита для вашего кластера. ➡Что такое аудит; ➡Политика аудита; ➡Параметры фильтрации; ➡Уровни логирования; ➡Стадии omitStages; ➡Подавление системного шума; ➡Фильтрация по пользователям; ➡Защита чувствительных данных; ➡Детализация для важных API; ➡Настройка API-сервера; ➡Заключение. #Kubernetes

• Популярность Kubernetes растет, порог входа снижается, но вопросам безопасности порой оказывают недостаточное внимание. •KubeHound - это как Bloodhound, но только для Kubernetes. Тулза предназначена для построения графов и вычисления путей атак для компрометации кластера. Принцип работы следующий: ➡KubeHound анализирует Kubernetes-кластер; ➡Собирает данные о ролях, привязках, сервисных аккаунтах, настройках Pod и сетевых политиках; ➡Формирует граф атак, определяя цепочки эксплуатации, показывая найденные уязвимости и их комбинации. ➡Выводит отчет, выделяя риски и рекомендациями по исправлению. • Куча дополнительной информации по использованию KubeHound можно найти по ссылкам ниже: ➡️https://github.com/DataDog/KubeHound ➡️https://kubehound.io • Дополнительно: подборка бесплатных инструментов с открытым исходным кодом для обеспечения безопасности Kubernetes. #Kubernetes

👩‍💻 Kubernetes security fundamentals: Authentication. • Kubernetes authentication principles; • Internal Kubernetes authentication methods; - Static token authentication; - Bootstrap tokens; - X.509 client certificates; - Service account tokens; • External authentication methods; - OpenID Connect (OIDC); - Webhook token authentication; - Authenticating proxy; - Impersonating proxy; • Authentication for other Kubernetes components; - Kubelet; - Controller manager and scheduler; - Kube-proxy; - Etcd; • Conclusion. #Kubernetes

👩‍💻 Kubernetes The Hard Way. • Автор этого гайда работал над ним около двух лет, осуществил тысячи перезапусков и пересобрал сотни кластеров — всё это вылилось в одну, но очень насыщенную статью. Kubernetes вручную, от и до, без kubeadm и прочих поблажек. - Удобные alias’ы, функции и обёртки; - Десятки скриптов, которые реально работают в бою; - Важные моменты, о которых молчат в туториалах. ➡Введение; ➡Почему «The Hard Way»; ➡Архитектура развертывания; ➡Создание инфраструктуры; ➡Базовая настройка узлов; ➡Загрузка модулей ядра; ➡Настройка параметров sysctl; ➡Установка компонентов; ➡Настройка компонентов; ➡Проверка готовности компонентов; ➡Работа с сертификатами; ➡Создание корневых сертификатов; ➡Создание сертификатов приложений; ➡Создание ключа подписи ServiceAccount; ➡Создание всех сертификатов; ➡Создание конфигураций kubeconfig; ➡Создание всех kubeconfig; ➡Проверка блока сертификатов; ➡Создание static pod-ов управляющего контура; ➡Создание всех static pod-ов управляющего контура; ➡Создание static pod-ов ETCD кластера; ➡Запуск службы Kubelet; ➡Проверка состояния кластера; ➡Настройка ролевой модели; ➡Загрузка конфигурации в кластер; ➡Загрузка корневых сертификатов в кластер; ➡Маркировка и ограничение узлов. #Kubernetes

• Недавно на хабре был обновлен очень объемный гайд по установке Kubernetes, который включает в себя очень много полезной информации для новичков. Стоит отметить, что Kubernetes — это большая и довольно сложная тема, но если вы изучите это пошаговое руководство, то у вас появился работающий стенд для экспериментов, что послужит отличным началом для изучения k8s: https://habr.com/ru/articles/725640 • Обратите внимание, что руководство содержит много дополнительного материала: ➡Основы Kubernetes; ➡Руководство начинающим для понимания основных концепций Kubernetes; ➡Различия между Docker, containerd, CRI-O и runc; ➡Визуальное руководство по диагностике неисправностей в Kubernetes; ➡Записки о containerd; ➡Зачем нужен контейнер pause в Kubernetes; ➡Как я клонировал Томми Версетти, или запускаем GUI/GPU приложения в Kubernetes; ➡Отказоустойчивый кластер с балансировкой нагрузки с помощью keepalived. • Ну и вот еще очень содержательный репозиторий, который содержит сотни инструментов для работы с Kubernetes и контейнерами: Awesome Open Source K8s And Container Tools. #Kubernetes

👩‍💻 Руководство по современным сетевым политикам Kubernetes. • Сетевые политики — основополагающий аспект защиты кластеров Kubernetes. Политики L4 обеспечивают базовый контроль над трафиком на основе IP-адресов и портов, в то время как политики L7 позволяют гранулярно контролировать трафик на уровне приложений с помощью надёжной криптографической идентификации. Комбинируя оба типа политик и используя service mesh, можно реализовать модель «нулевого доверия», отвечающую современным вызовам в области безопасности. • Это руководство для тех, кто хочет узнать больше об управлении сетевым трафиком Kubernetes на основе политик. Вы узнаете о разных типах политик и о том, почему они важны, о плюсах и минусах каждой из них и о том, как их определять и когда следует комбинировать. ➡Первоисточник || Источник. #Kubernetes

👩‍💻 Техническая история Kubernetes: секреты создателя. • Эта история от первого ведущего архитектора проекта, Брайана Гранта, который постил в Twitter серию тредов о технической истории проекта. Он рассказал о появлении разных фичей в K8s и логике, которая стояла за принятием отдельных решений. • В честь юбилея оркестратора Брайан собрал все твиты в одну статью. Это её перевод, из которого вы узнаете, как появились контроллеры рабочих нагрузок, декларативная модель ресурсов, descheduler и многое другое: ➡️https://habr.com/ru/post/851176/ #Kubernetes

👩‍💻 Инструменты для обеспечения безопасности Kubernetes. • ПО для обеспечения безопасности Kubernetes… их так много, и у каждого свои цели, область применения и лицензии... Однако, хочу поведать Вам о некоторых интересных решениях с открытым исходным кодом, которые полностью бесплатны: • Trivy — простой, но мощный сканер уязвимостей для контейнеров, легко интегрируемый в CI/CD-пайплайн. Его примечательная особенность — простота установки и работы: приложение состоит из единственного бинарника и не требует установки базы данных или дополнительных библиотек. Обратная сторона простоты Trivy состоит в том, что придется разбираться, как парсить и пересылать результаты в формате JSON, чтобы ими могли воспользоваться другие инструменты безопасности Kubernetes. • Portieris — это admission controller для Kubernetes; применяется для принудительных проверок на доверие к контенту. Portieris использует сервер Notary в качестве источника истины для подтверждения доверенных и подписанных артефактов (то есть одобренных контейнерных образов). При создании или изменении рабочей нагрузки в Kubernetes Portieris загружает информацию о подписи и политику доверия к контенту для запрошенных образов контейнеров и при необходимости на лету вносит изменения в JSON-объект API для запуска подписанных версий этих образов. • Kube-bench — приложение на Go, проверяющее, безопасно ли развернут Kubernetes. Ищет небезопасные параметры конфигурации среди компонентов кластера (etcd, API, controller manager и т.д.), сомнительные права на доступ к файлам, незащищенные учетные записи или открытые порты, квоты ресурсов, настройки ограничения числа обращений к API для защиты от DoS-атак и т.п. • Kube-hunter — Kube-hunter «охотится» на потенциальные уязвимости (вроде удаленного выполнения кода или раскрытия данных) в кластерах Kubernetes. Kube-hunter можно запускать как удаленный сканер — в этом случае он оценит кластер с точки зрения стороннего злоумышленника — или как pod внутри кластера. Отличительной особенностью Kube-hunter'а является режим «активной охоты», во время которого он не только сообщает о проблемах, но и пытается воспользоваться уязвимостями, обнаруженными в целевом кластере, которые потенциально могут нанести вред его работе. Так что пользуйтесь с осторожностью! • Kubeaudit — это консольный инструмент, изначально разработанный в Shopify для аудита конфигурации Kubernetes на предмет наличия различных проблем в области безопасности. Например, он помогает выявить контейнеры, работающие без ограничений, с правами суперпользователя, злоупотребляющие привилегиями или использующие ServiceAccount по умолчанию. У Kubeaudit есть и другие интересные возможности. К примеру, он умеет анализировать локальные файлы YAML, выявляя недостатки в конфигурации, способные привести к проблемам с безопасностью, и автоматически исправлять их. • Kyverno — движок политик безопасности Kubernetes с открытым исходным кодом, который помогает вам определять политики с помощью простых манифестов Kubernetes. Он может проверять, изменять и генерировать ресурсы Kubernetes. Таким образом, это может позволить организациям определять и применять политики так, чтобы разработчики и администраторы придерживались определенного стандарта. #Kubernetes