向Kubernetes引入开源零信任

越来越多的组织正在使用云原生和开源技术快速实现现代化。

2022年第一季度，全球在云基础设施方面的支出是2019年第一季度的两倍（根据统计数据，分别为559亿美元和275亿美元）。在这些转变过程中，随着更多的用户、数据和应用程序增加风险，安全成为一个关键考虑因素。组织必须认真审视谁负责安全，以及他们是否真正做好了迎接挑战的准备。

组织正在采取的一种更好地解决安全问题的方法是零信任。零信任假设所有网络流量都是恶意的，而不是自动将网络的一部分视为可信的，并要求对其他活动进行身份验证。零信任的行为就好像一个违规行为已经在进行中，使整个网络中的每个人都能对每个动作或请求进行身份验证。它很快成为网络安全的最佳实践。

让我们研究一下零信任的要求，将零信任应用于Kubernetes的挑战，以及可以帮助缓解这些挑战以保持应用程序现代化的开源解决方案。

零信任的必要条件

仅接触和破坏一个端点就足以接触敏感数据——这是许多攻击者的最终目标和高价值目标。零信任通过消除传递信任并在授予跨网络访问权限之前持续识别和验证，防止攻击者在入侵后横向移动。

可信网络每天都被用来发起攻击和提升权限，这意味着假设信任的模型始终容易受到入侵者的攻击。越来越多的应用程序意味着出现安全漏洞的机会比以往任何时候都多。随着越来越多的内部人员访问网络（开发者、架构师、承包商等），许多用户可以访问更多的数据和网络资源。零信任将网络用户限制为其角色所需的访问权限。

Kubernetes的零信任挑战

尽管许多组织认识到零信任的价值，但他们通常不知道如何或从哪里开始。在已经建立的安全实践中实施零信任原则可能会留下无法解释的漏洞，因此，转变为零信任模式需要利益相关者的认同和准备。

Kubernetes有很多移动部件，比如pod、副本集和有状态集等。其中许多都是短暂的，因为它们经常被创建和销毁。Kubernetes固有的复杂性使得以标准化方式应用零信任原则具有挑战性。

默认情况下，kubectl不提供基于角色的访问控制（RBAC），用户账户不会记录执行的命令。通过防火墙访问资源也可能很困难，监控多个集群变得复杂且容易出错。

理想情况下，访问控制应该集中在所有集群中。这降低了与零信任和Kubernetes相关的复杂性。

如果做得好，零信任可以让团队以变革、简单、低成本和无负担的方式获得安全。为了利用这些好处并缓解挑战，组织可以转向开源平台寻求支持。

开源零信任解决方案

开源解决方案的一个例子是Paralus。Paralus专为从单个集群到数千个集群的多集群环境而设计，为团队提供了管理资源访问以及威胁识别和响应的安全手段。

它源于Rafay的零信任访问服务，包括自定义角色、身份提供商（IdP）支持以及允许管理员创建具有不同权限的自定义规则等功能。通过一个工具，平台团队可以管理所有集群、位于任何位置的用户以及本地或云中托管的集群的访问。

并行访问管理

使用Paralus的Kube API Proxy功能，kubectl工具可以访问和管理Kubernetes集群，而不会丢失功能。Paralus根据预定义的访问策略验证经过身份验证的用户，并相应地授予他们对Kubernetes集群内资源的访问权限。

本质上，Paralus易于使用，可帮助任何规模的组织应对Kubernetes中的安全挑战。作为一个开源应用程序，Paralus可以自由部署和使用。团队可以定制Paralus，并为持续改进的零信任框架和实践做出贡献。

应用程序现代化进程中的组织正经历一个复杂而富有挑战性的时期。为了实现现代化，Kubernetes必须参与其中，但随着应用程序数量的激增，保持所有敏感数据的安全是一项艰巨的任务。组织应实施零信任框架和最佳实践来保护数据，这需要假设访问你网络的每个人都是潜在的威胁参与者。采用像Paralus这样的开源工具可以帮助简化零信任的实现，减少挑战。

原文链接：

https://thenewstack.io/introducing-open-source-zero-trust-to-kubernetes/