Kubernetes 모범 사례, 제 2판

19장. 보안

이 작품은 AI를 사용하여 번역되었습니다. 여러분의 피드백과 의견을 환영합니다: [e-mail]

Kubernetes는 Cloud 네이티브 애플리케이션을 오케스트레이션하기 위한 강력한 플랫폼입니다. 그러나 우리가 잘 알고 사랑하는 API와 도구의 겉모습과 세련됨 이면에는 보안을 위해 특정 지식이 필요한 크고 복잡한 분산 시스템이 숨어 있습니다. Kubernetes 보안은 솔직히 책 한 권이 필요할 정도로 복잡한 주제이지만, 시간을 들여 보안 모범 사례를 이해하고 구현하는 것을 간과하면 많은 것이 위험에 처할 수 있으므로 여기서는 간략하게 다루겠습니다. Kubernetes 클러스터와 워크로드를 제대로 보호하지 않으면 해커, 멀웨어, 무단 액세스에 데이터와 리소스가 노출될 수 있는 위험이 있습니다. 주요 보안 영역 중 일부를 다루지 않고 그 과정에서 도움이 되는 모범 사례를 제공하지 않는다면 아쉬울 것입니다.

Kubernetes의 복잡성을 고려할 때 문제를 논리적 계층으로 나누고 각 계층에서 특정 도구에 집중할 수 있도록 하는 것이 좋습니다. 보안을 처리하는 가장 좋은 방법은 "심층 방어" 전략을 따르는 것입니다. 이를 위해서는 각 계층에서 여러 보안 조치를 사용하여 Kubernetes와 워크로드를 보호해야 합니다. 또한, 사용자와 워크로드가 기능을 수행하는 데 꼭 필요한 것만 액세스해야 한다는 최소 권한 원칙을 염두에 두어야 합니다. 이 모든 것이 이론적으로는 훌륭하게 들리지만 실제로는 어떤 모습일까요? 이 장에서는 클러스터 보안, 컨테이너 보안, 코드 보안뿐만 아니라 사용 가능한 솔루션과 도구에 집중할 수 있도록 보안 문제를 계층별로 버킷화하는 접근 방식을 설명합니다.

많은 보안 모범 사례는 4장부터 11장까지를 포함한 다른 장에서 자세히 다루었습니다. 여기서는 이러한 특정 주제를 동일한 수준으로 자세히 다루지 않고 다루지 않은 영역에 초점을 맞추므로 해당 챕터를 다시 한 번 검토하는 것이 좋습니다. 특히 이 장에서는 계층에 중점을 두고 계층에 대해 자세히 살펴보고 보안 영역을 다루며 각 계층에 대한 모범 사례를 제공합니다.

클러스터 보안

는 일련의 API를 통해 노출되므로, 클러스터 보안의 첫 번째 단계는 클러스터에 액세스할 수 있는 사용자와 수행할 수 있는 작업을 규제하고 제한하는 것입니다. 다음에서는 Kubernetes 컨트롤 플레인의 다양한 부분과 이를 보호하는 방법을 다루겠습니다.

etcd 액세스

Kubernetes의 기본 스토리지 시스템은 etcd입니다. 공유되지 않는 강력한 자격 증명을 사용하여 Kubernetes API 서버만 etcd에 액세스할 수 있도록 해야 합니다. 또한 네트워크 방화벽을 사용하여 API 서버만 etcd에 네트워크 액세스 권한을 갖도록 해야 한다. etcd에 직접 액세스하면 이후의 모든 보안 조치를 우회할 수 있으므로, 이는 매우 중요한 보안 계층입니다.

인증

Kubernetes 에서는 무기명 토큰 및 인증서부터 OIDC(OpenID Connect) ...