13、Kubernetes 安全与服务外部暴露：关键概念与实践

Kubernetes 安全与服务外部暴露：关键概念与实践

在 Kubernetes 环境中，安全管理和服务的外部暴露是至关重要的两个方面。下面将详细介绍 Kubernetes 中的准入控制器、角色访问控制以及不同的服务暴露方式。

准入控制器与角色访问控制

准入控制器是 Kubernetes 中用于增强安全性和实施策略的重要工具。在团队间职责划分方面，之前讨论的基于资源和命名空间级别的 RBAC 方法，虽给予团队在其管理范围内的操作自由，但无法确保所有团队都遵循标准化的网络策略和标签模式。

Kubernetes 本身没有内置的细粒度限制能力，但支持准入控制器 API，允许第三方准入控制器接入 Kubernetes API 机制，在对象的创建、更新和删除操作期间进行语义验证。此外，还可以使用准入控制器（也称为变异准入控制器）来修改被允许的对象。

准入控制器在网络策略实施中有诸多应用：
- 验证网络策略完整性 ：确保网络策略同时包含入站和出站规则，以符合组织遵循的最佳实践。
- 确保标签合规性 ：保证每个 Pod 都有特定的标签集，以符合组织定义的标签标准。
- 限制用户访问 ：限制不同用户组使用特定的标签值。

准入控制器的安全用例不仅限于网络策略。例如，Kubernetes 服务支持使用 ExternalIP 字段指定与服务关联的任意 IP 地址。若缺乏一定的监管，这一强大功能可能被恶意利用。因此，根据团队间的信任程度，使用准入控制器进行监管可能是必要的。