Kubernetes集群上相互交互的RESTful服务是否需要身份验证？

Question

我们有一个微服务架构，并且有一些REST服务通过HTTP相互交互。所有这些服务都托管在Kubernetes集群上。我们是否需要对此类服务交互进行显式身份验证，或者Kubernetes是否为其提供了足够的安全性？

Answer 1

它纯粹基于您如何设计、架构，以及如何为您的系统创建SDD。在设计时，必须考虑安全加固并给予优先考虑。软件和工具带来了它们的特性，但是，你如何采用是很重要的。Kubernetes也不例外。

您正在使用HTTP运行您的微服务，并且在生产系统中，即使在Kubernetes集群中运行，您也无法相信您的系统是安全的。Kubernetes从安全的角度带来了很酷的特性，如基于角色的访问控制，CRD等，你可以在这里找到，Kubernetes 1.8 Security, Workloads and Feature Depth。但是，仅仅利用这些特性是不够的。内部服务应该像外部服务一样安全。以下是在kubernetes集群中运行工作负载后需要注意的几件事，

1. 扫描您的所有docker镜像以进行漏洞测试。
2. 通过ABAC使用基于角色的访问权限，并为运行您的服务的各个docker分配最佳权限。
3. 可避免未经授权的内部访问服务数据，并保护所有微服务端点。kubernetes群集的
4. 加密密钥应该在一段时间内轮换。

管理员您的kubernetes群集的数据存储区必须是secured.

1. Only管理员应该有权访问基于kubectl.
2. Use令牌的验证，并在所有REST
3. 上启用身份验证监视所有服务、用于分析的日志、运行状况检查以及在容器内运行的所有进程。

希望这能有所帮助。

Answer 2

Kubernetes仅为您的内容化应用程序提供编排。它可以帮助你对你的服务进行run，update，scale，并提供了一种在集群内对它们进行delivering traffic的方式。大部分Kubernetes安全性与集群的traffic management和role based administration相关。

一些额外的工具，如Istio，可以为您提供pods之间的安全通信和其他一些流量管理功能。

pods中的应用程序应该具有自己的能力，可以基于本地文件/数据库或网络服务(如LDAP或OpenID等)提供身份验证和授权。