Debian上Kubernetes安全设置有哪些

Debian上Kubernetes的安全设置清单

一 系统与内核安全基线

• 禁用 Swap：临时执行swapoff -a，并注释**/etc/fstab**中的 swap 行，避免内存压力导致异常调度与安全边界被绕过。
• 内核网络与安全模块：开启net.ipv4.ip_forward=1、net.bridge.bridge-nf-call-iptables=1、net.bridge.bridge-nf-call-ip6tables=1；按需加载br_netfilter、ip_vs、nf_conntrack等模块，保障跨主机网络与 kube-proxy/IPVS 正常工作。
• 容器运行时：优先选择containerd/CRI-O；自v1.20起不再支持 Docker 作为容器运行时。
• 主机加固：保持Debian与内核、容器运行时、kubelet/kubeadm/kubectl 的及时更新与补丁；为关键组件启用最小权限的系统服务配置。

二 集群组件与认证授权

• API 访问控制：仅暴露6443/TCP（Kubernetes API）等必要端口，使用防火墙/UFW限制来源；对外最小化暴露，内部网络分段隔离。
• 认证体系：生产环境以X509 证书为主；结合ServiceAccount自动挂载凭据、引导令牌用于集群初始化、OpenID Connect/Webhook对接企业身份源。
• 授权模型：全面启用RBAC，遵循最小权限原则；能用Role/RoleBinding就不用ClusterRole/ClusterRoleBinding；避免通配权限与将用户加入system:masters组。
• 准入控制：启用并合理配置准入控制链（如ServiceAccount、NamespaceLifecycle、LimitRanger、ResourceQuota、MutatingAdmissionWebhook、ValidatingAdmissionWebhook），在对象持久化前拦截非法与不安全配置。
• 服务账号安全：为应用创建专用 ServiceAccount，对不需要的 Pod 设置automountServiceAccountToken: false，避免默认 SA 的过度权限。

三 网络与 Pod 安全

• 网络策略：部署NetworkPolicy控制器（如Calico/Flannel），按命名空间与标签实施最小连通性，默认拒绝、按需放行，减少横向移动。
• 网络插件端口：如使用Calico，按需开放179/TCP（BGP）、**4789/UDP（VXLAN）**等端口，避免无边界通信。
• Pod 安全基线：以非 root运行（如runAsNonRoot）、设置fsGroup、只读根文件系统、禁用特权容器与不必要的hostPath/特权端口；为需要特权的场景使用最小权限的准入授权与Pod Security Admission/替代方案进行约束。

四 日志监控与合规审计

• 审计与日志：启用并集中审计日志，持续监控API 调用与异常行为；为systemd-journald配置持久化与容量上限，便于取证与合规。
• 监控告警：部署Prometheus + Grafana监控节点、控制面与工作负载指标；结合日志收集/分析（如 ELK）实现安全事件关联与告警。
• 合规检查：定期使用kube-bench等工具对控制面与节点进行CIS/K8s 安全基线核查，及时整改薄弱项。

五 运维与加固清单

• 组件加固：为kubelet配置TLS Bootstrapping与证书轮换，避免长期凭据暴露；使用kubeadm管理证书分发与更新。
• 备份恢复：定期备份etcd与控制面配置，验证恢复流程与灾难恢复能力。
• 版本与升级：制定版本兼容与升级策略，先在测试环境验证，再滚动升级生产集群，降低变更风险。
• 安全配置基线：持续执行最小权限、最小暴露面、最小特权容器、凭据轮换与定期审计等通用安全实践。