security - OpenShift 是否通过在主机级别隔离容器来支持真正的 Multi-Tenancy ？

Question

我花了一段时间才明白什么是OpenShift是什么以及它做什么(除了 Kubernetes 本身)。

我的问题涉及当前版本的 OpenShift Origin 1.1 (OpenShift 3.1)。

• OpenShift 是否通过在专用主机上运行来自不同租户的容器来支持真正的 Multi-Tenancy ？

无需过多讨论细节，您可以保护租户免受容器破坏或其他漏洞的侵害，这应该是常识(如果您熟悉 Docker/容器安全问题)仅通过在主机级别进行容器隔离。

(我强烈推荐 Docker Security 上的这本电子书)。

OpenShift 文档仅描述了项目和用户的概念，Kubernetes 文档仅说明了用于确定某些资源范围的命名空间的概念。

如果您有将 OpenShift 作为开发人员或客户的 Multi-Tenancy 容器/PaaS 平台运行的经验，感谢您对此的任何见解或想法。

Answer 1

主机级 Multi-Tenancy 与真正的 Multi-Tenancy 不同。 Kubernetes 和 docker 保护主机。这不是 OpenShift 的事情。例如https://access.redhat.com/documentation/en-us/openshift_container_platform/3.10/html/container_security_guide/security-hosts谈论 cgroup 和命名空间提供保护。 cgroups 和命名空间是 docker 在 Linux 中的工作方式。

OpenShift 确实为开发人员提供了 RBAC。如果您使用 OpenShift“源到图像”功能，它们可以为整个集群提供额外的保护。但 OpenShift 无法在 Pod 或服务级别提供保护。如果您希望 Pod 安全，则需要自定义 SDN，例如 Calico ( https://docs.projectcalico.org/about/about-calico ) 和 Flannel ( https://github.com/coreos/flannel )。

为什么这很重要？拥有主机级别的安全性相当于在家里举办派对时关注门锁。当你参加聚会时，你不会把钱包或社会安全卡留在厨房的 table 上，因为他们是一群跑来跑去的人。如果你在同一个集群中运行 Multi-Tenancy ——你就开派对了。一群租户在同一个集群上运行计算。

但是标签和污点呢？标签和污点就像说我们要举办一个聚会，但每个人都同意呆在自己的房子里。每个租户都有自己的主人。从安全角度来看，此时您获得了什么？您可以轻松地在直接 IaaS(例如 AWS)上运行并具有相同的姿势。唯一的区别是你没有向 RedHat 支付一大笔钱。此外，OpenShift 不确保租户使用特定标签或污点...