在Linux環境下安裝Kubernetes（K8S）時，需要注意以下安全事項：
1. 更新到最新穩定版本
- 原因：新版本通常會引入重要的安全功能和補丁，修復已知的安全漏洞。
- 措施：定期檢查并升級Kubernetes集群到最新穩定版本。
2. 使用PodSecurityPolicy
- 原因：防止容器以特權模式運行，避免容器與宿主機共享不必要的命名空間，限制卷的類型等。
- 措施：啟用PodSecurityPolicy準入控制器，配置必要的安全策略。
3. 利用命名空間隔離資源
- 原因：通過命名空間創建邏輯分區，限制用戶權限范圍。
- 措施：避免使用前綴
kube-的命名空間，確保資源名稱唯一。
4. 網絡策略
- 原因：規定Pod群組之間的通信方式，限制容器和Pod的通信。
- 措施：使用支持網絡策略的網絡插件（如Calico、Cilium），配置NetworkPolicy資源。
5. 管理鏡像來源
- 原因：防止使用未經驗證的鏡像。
- 措施：使用ImagePolicyWebhook策略，配置準入控制器來管理鏡像來源。
6. 安全配置API服務器
- 措施：
- 啟用TLS加密。
- 配置客戶端證書、靜態Token文件或動態Token服務（如kubelet-bootstrap Token）。
- 使用OIDC或Webhook認證等。
7. 配置Kube-scheduler和Kube-controller-manager
- 措施：
- 設置
--profiling為false以減少攻擊面。
- 將
--address設置為127.0.0.1，防止綁定到不安全地址。
8. 安全配置Etcd
- 措施：
- 使用TLS加密etcd數據傳輸。
- 設置
--client-cert-auth為true，確保所有用戶訪問都包括有效的客戶端證書。
9. 監控和日志記錄
- 措施：
- 部署監控組件（如Prometheus和Grafana）進行資源監控和性能監控。
- 配置日志收集工具（如Fluentd或EFK）收集和處理應用程序日志。
10. 備份和恢復
- 措施：
- 使用Velero等工具進行K8S集群的備份和恢復。
- 定期備份etcd數據、kubeconfig文件、PersistentVolume數據等。
11. 最小權限原則
- 措施：為Pod設置最小的資源請求和限制，避免使用特權模式，限制容器的權限。
12. 定期安全審計
- 措施：定期檢查和審計Kubernetes集群的配置，確保所有安全策略得到有效執行。
通過上述措施，可以顯著提高Kubernetes集群的安全性，減少潛在的安全風險。
