Kubernetes Windows節(jié)點(diǎn)的安全性

2022-05-23 11:21 更新

Windows 節(jié)點(diǎn)的安全性

本頁(yè)介紹特定于 Windows 操作系統(tǒng)的安全注意事項(xiàng)和最佳實(shí)踐。

保護(hù)節(jié)點(diǎn)上的機(jī)密數(shù)據(jù)

在 Windows 上，來(lái)自 Secrets 的數(shù)據(jù)以明文形式寫入節(jié)點(diǎn)的本地存儲(chǔ)（與在 Linux 上使用 tmpfs / in-memory 文件系統(tǒng)相比）。 作為集群運(yùn)營(yíng)商，您應(yīng)該采取以下兩項(xiàng)額外措施：

  1. 使用文件 ACL 來(lái)保護(hù) Secrets 的文件位置。
  2. 使用 BitLocker 應(yīng)用卷級(jí)加密。

容器用戶

可以為 Windows Pod 或容器指定 RunAsUsername 以作為特定用戶執(zhí)行容器進(jìn)程。 這大致相當(dāng)于 RunAsUser。

Windows 容器提供兩個(gè)默認(rèn)用戶帳戶，ContainerUser 和 ContainerAdministrator。 Microsoft 的安全 Windows 容器文檔中的何時(shí)使用 ContainerAdmin 和 ContainerUser 用戶帳戶中介紹了這兩個(gè)用戶帳戶之間的區(qū)別。

本地用戶可以在容器構(gòu)建過(guò)程中添加到容器鏡像中。

Note:
  • 基于 Nano Server 的圖像默認(rèn)以 ?ContainerUser ?身份運(yùn)行
  • 基于 Server Core 的鏡像默認(rèn)作為 ?ContainerAdministrator ?運(yùn)行

Windows 容器還可以通過(guò)使用組托管服務(wù)帳戶作為 Active Directory 身份運(yùn)行

Pod 級(jí)別的安全隔離

Windows 節(jié)點(diǎn)不支持 Linux 特定的 pod 安全上下文機(jī)制（例如 SELinux、AppArmor、Seccomp 或自定義 POSIX 功能）。

Windows 不支持特權(quán)容器。 相反，可以在 Windows 上使用 HostProcess 容器來(lái)執(zhí)行許多由特權(quán)容器在 Linux 上執(zhí)行的任務(wù)。


以上內(nèi)容是否對(duì)您有幫助：
在線筆記
App下載
App下載

掃描二維碼

下載編程獅App

公眾號(hào)
微信公眾號(hào)

編程獅公眾號(hào)