centos k8s安全設置如何操作

以下是CentOS上K8s的安全設置操作要點，涵蓋系統、網絡、權限、鏡像等核心維度：

一、系統基礎安全加固

1. 關閉非必要服務與端口
   • 禁用FTP、郵件等無關服務：systemctl disable ftpd postfix
   • 用firewalld限制端口：firewall-cmd --add-port=6443/tcp --permanent（僅開放API Server端口）
2. 禁用SELinux與Swap
   • 臨時禁用SELinux：setenforce 0；永久禁用：修改/etc/selinux/config為disabled
   • 關閉Swap：swapoff -a，并注釋/etc/fstab中的Swap配置
3. 系統更新與內核加固
   • 定期更新系統補?。?code>yum update -y
   • 使用hardened內核（如CentOS Stream的默認內核）

二、網絡訪問控制

1. 啟用網絡策略（Network Policy）
   • 通過標簽限制Pod間通信，例如僅允許frontend訪問backend的8080端口：

     apiVersion: networking.k8s.io/v1  
     kind: NetworkPolicy  
     metadata:  
       name: frontend-to-backend  
     spec:  
       podSelector:  
         matchLabels:  
           app: backend  
       ingress:  
       - from:  
         - podSelector:  
             matchLabels:  
               app: frontend  
         ports:  
         - protocol: TCP  
           port: 8080  
     

     應用策略：kubectl apply -f network-policy.yaml
2. 配置CNI插件支持
   • 需使用Calico、Cilium等支持Network Policy的CNI插件

三、權限與認證管理

1. 啟用RBAC權限控制
   • 創建命名空間隔離資源：kubectl create namespace dev
   • 定義角色（Role）限制命名空間內操作，例如允許dev命名空間創建Pod：

     apiVersion: rbac.authorization.k8s.io/v1  
     kind: Role  
     metadata:  
       namespace: dev  
       name: pod-creator  
     rules:  
     - apiGroups: [""]
       resources: ["pods"]
       verbs: ["create", "get", "list"]  
     

     綁定到服務賬戶：kubectl create rolebinding dev-pod-creator --role=pod-creator --serviceaccount=dev:default
2. API Server安全配置
   • 啟用TLS雙向認證，使用客戶端證書驗證訪問
   • 禁用匿名訪問：在API Server啟動參數中添加--anonymous-auth=false

四、容器與鏡像安全

1. 限制容器權限
   • 通過securityContext禁止特權容器、限制文件系統只讀：

     securityContext:  
       runAsNonRoot: true  
       readOnlyRootFilesystem: true  
     

2. 鏡像安全掃描與簽名
   • 使用私有倉庫（如Harbor）存儲鏡像，并啟用漏洞掃描
   • 通過cosign對鏡像簽名，部署時驗證簽名有效性

五、審計與監控

1. 啟用審計日志
   • 在API Server配置中添加審計策略，記錄所有操作：

     apiVersion: audit.k8s.io/v1  
     kind: Policy  
     rules:  
     - level: Metadata  
       resources:  
       - group: ""  
         resources: ["pods", "services"]  
     

2. 部署實時監控工具
   • 使用Falco監控異常行為，例如檢測容器逃逸：kubectl apply -f falco-daemonset.yaml
   • 通過Prometheus+Grafana監控集群資源與安全指標

六、組件與證書管理

1. 定期更新K8s組件
   • 使用kubeadm upgrade升級集群版本，確保修復安全漏洞
2. 證書自動輪換
   • 啟用證書自動續期：kubeadm certs renew all，避免證書過期

參考來源：

以上措施需根據實際業務場景調整，優先遵循“最小權限原則”和“零信任”理念，定期進行安全審計與滲透測試。