docker - 我应该在 Kubernetes 前面添加一个 DMZ 吗？

Question

Kubernetes Ingress 是否足够安全以避免在 Kubernetes 前面添加 DMZ 以暴露 Pod 和服务？
如果有人“入侵”了 Pod 会发生什么？

谢谢。

Answer 1

这是一个意见问题，所以我会用一个选项来回答。

如果你关注 standard security practices 很安全为您的集群。但没有什么是 100% 安全的。因此，添加 DMZ 将有助于减少您的攻击媒介。

在保护您的 Ingress 不受外部影响方面，您可以将外部负载均衡器的访问权限限制为 HTTPS，大多数人都会这样做，但请注意 HTTPS 和您的应用程序本身也可能存在漏洞。

至于您的 Pod 和工作负载，您可以使用诸如精心设计的 seccomp 之类的东西来提高安全性(以一些性能成本为代价)。配置文件和/或添加正确的 capabilities在您的 pod 安全上下文中。您还可以使用 AppArmor 添加更多安全性或 SELinux ，但很多人不这样做，因为它会变得非常复杂。

还有其他 Docker 替代方案可以更轻松地对 Pod 进行沙盒处理(在撰写本文时仍处于其生命周期的早期):Kata Containers , Nabla Containers和 gVisor .