kubernetes - 私有(private)子网中的本地 kubernetes 集群

Question

我想运行一个 kubernetes 集群，其中有 1 个主节点和 2 个工作节点，所有 3 个都位于我们本地数据中心内不同的独立私有(private)子网中。在将前端应用程序暴露给公共(public)网络以实现良好的 kubernetes 安全性的同时，实现 kubernetes 集群的最佳策略是什么？

Answer 1

在云端我的答案会不一样!据我了解 טםו 不会扩展您的节点，所以我的回答是基于此。

1. 在 K8S 集群中创建所有服务(不要公开其中任何一个)。

2. 创建 Nginx 或您喜欢的任何负载均衡器作为 VM(如果您可以为 HA 创建 2 个 VM 会更好)。

3. 将 Nginx 路由到前端(请使用不暴露的入口 Controller )

现在关于安全性:

1. 将 WAF 添加到您的负载均衡器。

2. 控制每种容器类型中允许的进程(为此使用 Falco)。

3. 创建网络策略来定义允许哪些服务与哪些服务通信，或者我强烈建议使用 Istio。

4. 为数据库创建证书，只有包含证书的 pod 才能与他对话。

祝你好运。