kubernetes - 在同一 namespace 的服务层隔离 secret

Question

我正在尝试找出如何将我的Kubernetes secret 隔离到特定服务的方法。

例如，假设我有两个名为private-key和public-key的 secret ，以及两个Kubernetes Services auth-service 和 gateway-service 。

我想向身份验证服务提供private-key secret 以生成 token ，并向网关服务提供public-key以验证生成的 token 。所有 secret 和服务都在同一个命名空间中。

如何将private-key的访问限制为仅 auth-service ？

Answer 1

没有办法实现这一点，这是Kubernetes设计的。 Kubernetes中的 secret 是每个 namespace ，并且该 namespace 中的任何Pod都可以安装它们。因此，实现此目标的唯一方法是使用单独的命名空间。 BTW不仅是每个 namespace 的 secret ，而且是RBAC权限-您不能将用户权限限制为特定对象，而是整个 namespace 。

另外，从安全性的 Angular 来看，您可能想考虑一种用于签名 token 的私钥(如HSM)更安全的解决方案。提供此功能的有一些云选项，例如Azure KeyVault或AWS CloudHSM。

最后，这是我们最终构建自己的 secret 加密解决方案Kamus的原因之一。 Kamus允许您加密特定服务的 secret ，只有该服务才能解密它们。这使我们可以拥有更好的 secret 权限粒度，而Kubernetes secret 机制没有提供这种权限。