集群安全如何策略配置

本文目录导读：

1. 核心原则：纵深防御与最小权限
2. 集群安全策略配置的四大维度
3. 策略配置实施流程
4. 一份快速检查清单

集群安全策略配置是一个系统性工程,需要覆盖从基础设施到应用层、从网络边界到数据存储的多个维度，不同集群类型（如Kubernetes、Hadoop、Elasticsearch）的侧重点不同，但核心原则和通用策略是相通的。

下面以最主流的Kubernetes (K8s)容器编排集群为例，说明如何系统性地配置安全策略，这些思路也适用于大多数分布式集群。

核心原则：纵深防御与最小权限

在配置任何策略前,先确立两个核心原则：

1. 纵深防御：不依赖单一安全机制，网络层、节点层、容器层、API层、数据层都应有防护。
2. 最小权限：任何实体（用户、Pod、服务）只拥有完成其任务所需的最小权限。

集群安全策略配置的四大维度

基础设施与节点安全

这是集群的底座,如果节点被攻破，上层所有策略都可能失效。

• 操作系统加固：
  • 定期更新节点OS内核和系统包,修复已知漏洞。
  • 禁用不必要的服务和端口（如SSH仅允许特定IP或使用堡垒机）。
  • 配置主机入侵检测系统。
• 节点访问控制：
  • 禁止直接SSH登录节点，必须通过堡垒机或K8s API进行操作。
  • 为节点配置独立的、具有最小权限的Service Account（用于与云平台API交互）。
• etcd 加密与认证：
  • etcd是集群的大脑,必须启用TLS双向认证（mTLS）。
  • 对etcd中的Secret数据启用静态加密（Encryption at Rest）。
• 网络平面隔离：
  • 将集群网络、节点网络、存储网络分离于不同的VLAN或子网。
  • 使用安全组/防火墙规则，仅允许集群内部和必要的管理流量。

集群 API 与认证授权

这是集群的“大门”，必须严格控制谁能进来以及能做什么。

• API Server 加固：
  • 启用 HTTPS (TLS 1.2+) 并配置强加密套件。
  • 禁用匿名请求 (--anonymous-auth=false)。
  • 启用审计日志 (--audit-log-path)，记录所有API请求，尤其关注写操作和敏感资源访问。
• 认证机制（Authentication）：
  • 不使用共享Token或证书，推荐使用OIDC（如集成企业LDAP、GitHub SSO）或云服务商的IAM集成。
  • 为不同角色创建独立的服务账号（Service Account），不为“默认”服务账号授予权限。
• 授权模型（Authorization）：
  • 必须使用RBAC，禁用更宽泛的ABAC。
  • 实施最小权限原则：
    • Namespce 级别权限：开发人员通常只需其项目的Namespace内权限。
    • Cluster 级别权限：仅授予集群管理员。
  • 使用角色聚合：通过ClusterRole的aggregationRule简化权限管理。
  • 关闭automountServiceAccountToken：对于不需要与API交互的Pod，在其PodSpec中设置 automountServiceAccountToken: false。

工作负载与容器运行时安全

这是Pod运行的地方,也是攻击面最大的区域。

• Pod 安全标准（Pod Security Standards，PSS）：这是最重要的策略之一。
  • 对每个命名空间实施Pod Security Admission (PSA) 控制策略，以前叫PSP。
  • 分层策略：
    • Privileged：仅用于系统组件（如Ingress Controller、CNI插件）。不用于业务。
    • Baseline：适用于大多数业务Pods（阻止了已知的特权升级）。
    • Restricted：最高安全等级（强制的，如禁止privileged: true、禁止hostNetwork、runAsNonRoot: true等）。
  • 实践：为production命名空间设置Restricted级别，为staging设置Baseline级别。
• 容器镜像安全：
  • 使用可信的镜像源：内部私有镜像仓库（Harbor, Nexus）。
  • 镜像签名验证：只运行经过签名的镜像。
  • 镜像漏洞扫描：在CI/CD流程中和仓库中集成扫描工具(Trivy, Clair, Anchore)。
  • 不使用latest：使用固定的版本标签。
• 安全上下文（Security Context）：在每个Pod或容器定义中必须配置。
  • runAsNonRoot: true：禁止容器以root用户运行。 （最基础的策略）
  • runAsUser: [非rootUID]：明确指定容器用户ID。
  • capabilities.drop: ["ALL"]：丢弃所有Linux Capability，然后按需添加（如NET_BIND_SERVICE）。
  • readOnlyRootFilesystem: true：让根文件系统只读，应用需要写数据时必须挂载emptyDir或持久卷。
• 网络策略（Network Policies）：
  • 默认拒绝所有入口和出口流量。
  • 显式定义允许的流量。
    • Web前端Pod允许被Ingress访问。
    • API后端Pod仅允许被Web前端Pod访问,并允许连接数据库。
    • 数据库Pod仅允许被API后端Pod访问,并拒绝所有出站流量。