Unterstützung für die Verbesserung dieser Seite beitragen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Um zu diesem Benutzerhandbuch beizutragen, wählen Sie den GitHub Link Diese Seite bearbeiten unter, der sich im rechten Bereich jeder Seite befindet.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Sicherheitsüberlegungen für EKS-Funktionen

Dieses Thema behandelt wichtige Sicherheitsüberlegungen für EKS-Funktionen, einschließlich der IAM-Rollenkonfiguration, Kubernetes-Berechtigungen und Architekturmuster für Multi-Cluster-Bereitstellungen und kontoübergreifendes Ressourcenmanagement. AWS

EKS-Funktionen verwenden eine Kombination aus IAM-Rollen, EKS-Zugriffseinträgen und Kubernetes RBAC, um sicheren Zugriff auf Dienste, Cluster-Kubernetes-Ressourcen und Integrationen mit Secrets Manager und anderen AWS Diensten zu ermöglichen. AWS CodeConnections AWS AWS

Fähigkeit: IAM-Rolle

Wenn Sie eine Funktion erstellen, geben Sie eine IAM-Funktionsrolle an, die EKS verwendet, um Aktionen in Ihrem Namen auszuführen. Diese Rolle muss:

Es hat sich bewährt, den Umfang der für Ihren speziellen Anwendungsfall erforderlichen Rechte zu berücksichtigen und nur die Berechtigungen zu gewähren, die Ihren Anforderungen entsprechen. Wenn Sie beispielsweise die EKS-Funktion für Kube Resource Orchestrator verwenden, sind möglicherweise keine IAM-Berechtigungen erforderlich, während Sie bei Verwendung der EKS-Funktion für AWS Controller für Kubernetes vollen Zugriff auf einen oder mehrere Dienste gewähren können. AWS

Ausführliche Informationen zum Erstellen und Konfigurieren von Capability IAM-Rollen finden Sie unter. IAM-Rolle für Amazon EKS-Funktionen

EKS-Zugriffseinträge

Wenn Sie eine Funktion mit einer IAM-Rolle erstellen, erstellt Amazon EKS automatisch einen Zugriffseintrag für diese Rolle in Ihrem Cluster. Dieser Zugriffseintrag gewährt der Funktion grundlegende Kubernetes-Funktionsberechtigungen.

Der Zugriffseintrag beinhaltet:

Standardmäßige Zugriffsrichtlinien nach Funktionen

Jeder Funktionstyp gewährt der Funktionsrolle die erforderlichen Berechtigungen und legt unterschiedliche Standard-Zugriffsrichtlinien wie folgt fest:

Weitere Informationen finden Sie unterBerechtigungen von Zugriffsrichtlinien überprüfen.

Zusätzliche Kubernetes-Berechtigungen

Für einige Funktionen sind möglicherweise zusätzliche Kubernetes-Berechtigungen erforderlich, die über die standardmäßigen Zugriffsrichtlinien hinausgehen. Sie können diese Berechtigungen auf eine der folgenden Arten gewähren:

Geheime Leserberechtigungen ACK

Einige ACK-Controller müssen Kubernetes-Geheimnisse lesen, um vertrauliche Daten wie Datenbankkennwörter abzurufen. Die folgenden ACK-Controller benötigen einen geheimen Lesezugriff:

Um geheime Leseberechtigungen zu gewähren:

Erledigen Sie beliebige Ressourcenberechtigungen

Standardmäßig kann Kro ResourceGraphDefinitions (RGDs) und ihre Instanzen beobachten und verwalten. Um zusammengesetzte Ressourcen wie Deployments, Services oder zu verwalten ConfigMaps, konfigurieren Sie zusätzliche Kubernetes-Berechtigungen.

So erteilst du Kro-Berechtigungen zum Erstellen von Ressourcen:

Option 1: Greifen Sie auf Zugangsrichtlinien zu

Ordnen Sie vordefinierte Zugriffsrichtlinien wie AmazonEKSAdminPolicy oder AmazonEKSEditPolicy dem Zugriffseintrag der Funktion zu.

Option 2: Kubernetes RBAC

Erstellen Sie eineClusterRoleBinding, die dem Kubernetes-Benutzer der Funktion die erforderlichen Berechtigungen gewährt:

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: kro-cluster-admin
subjects:
- kind: User
  name: arn:aws:sts::111122223333:assumed-role/my-kro-role/KRO
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: cluster-admin
  apiGroup: rbac.authorization.k8s.io

Für die Funktion erforderliche IAM-Berechtigungen

Bewährte Methoden für die Gewährleistung der Sicherheit

ICH BIN AM WENIGSTEN BERECHTIGT

Gewähren Sie Ihren Funktionsressourcen nur die Berechtigungen, die für Ihren Anwendungsfall erforderlich sind. Dies bedeutet nicht, dass Sie Ihren Fähigkeiten bei Bedarf keine umfassenden Administratorberechtigungen gewähren können. In solchen Fällen sollten Sie den Zugriff auf diese Ressourcen angemessen regeln.

Rollen im Bereich Fähigkeiten:

Beispiel: Geben Sie stattdessen Muster für bestimmte Ressourcen oder Gruppen von "Resource": "*" Ressourcen an.

"Resource": [
  "arn:aws:s3:::my-app-*",
  "arn:aws:rds:us-west-2:111122223333:db:prod-*"
]

Verwenden Sie IAM-Bedingungsschlüssel, um den Zugriff weiter einzuschränken:

"Condition": {
  "StringEquals": {
    "aws:ResourceTag/Environment": "production"
  }
}

Weitere Informationen zur IAM-Konfiguration finden Sie im Abschnitt „Überlegungen“ zu den einzelnen Funktionen.

Namespace-Isolierung für Argo-CD-Geheimnisse

Die verwaltete Argo-CD-Funktion hat Zugriff auf alle Kubernetes-Geheimnisse in ihrem konfigurierten Namespace (Standard:). argocd Um ein optimales Sicherheitsniveau aufrechtzuerhalten, folgen Sie diesen Methoden zur Namespace-Isolierung:

Diese Isolierung stellt sicher, dass der geheime Zugriff der Argo-CD auf nur die Anmeldeinformationen beschränkt ist, die für die Git-Repository-Authentifizierung und andere Argo-Operationen benötigt werden. CD-specific

Kubernetes RBAC

Steuern Sie, welche Benutzer und Dienstkonten Funktionsressourcen erstellen und verwalten können. Es hat sich bewährt, Funktionsressourcen in dedizierten Namespaces mit entsprechenden RBAC-Richtlinien bereitzustellen.

Beispiel: RBAC-Rolle für die Arbeit mit ACK, die eine S3-Bucket-Ressourcenverwaltung im Namespace ermöglicht: app-team

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: ack-s3-manager
  namespace: app-team
rules:
- apiGroups: ["s3.services.k8s.aws"]
  resources: ["buckets"]
  verbs: ["get", "list", "create", "update", "delete"]

Audit-Protokollierung

CloudTrail: Alle EKS-Capability-API-Operationen (Erstellen, Aktualisieren, Löschen) werden protokolliert AWS CloudTrail.

Aktivieren Sie die CloudTrail Protokollierung, um Folgendes zu verfolgen:

Netzwerkzugriff und VPC-Endpunkte

Privater Zugriff auf die Argo CD API

Sie können den Zugriff auf den Argo CD API-Server einschränken, indem Sie dem gehosteten Argo CD-Endpunkt einen oder mehrere VPC-Endpunkte zuordnen. Dies ermöglicht private Konnektivität innerhalb Ihrer VPC, ohne das öffentliche Internet zu nutzen. Der VPC-Endpunkt bietet Zugriff sowohl auf die Argo CD-Weboberfläche als auch auf die Argo CD-API (einschließlich CLI-Zugriff).

Bereitstellung auf privaten Clustern

Mit der Argo-CD-Funktion können Anwendungen auf vollständig privaten EKS-Clustern bereitgestellt werden. Dies bietet einen erheblichen Betriebsvorteil, da kein VPC-Peering oder komplexe Netzwerkkonfigurationen erforderlich sind. Beachten Sie beim Entwurf dieser Architektur jedoch, dass Argo CD die Konfiguration aus Git-Repositorys (die möglicherweise öffentlich sind) abruft und auf Ihre privaten Cluster anwendet.

Stellen Sie sicher, dass Sie:

Compliance

Die EKS-Funktionen werden vollständig verwaltet und verfügen über die Compliance-Zertifizierungen von Amazon EKS.

Aktuelle Compliance-Informationen finden Sie unter AWS Services im Umfang nach Compliance-Programm.

Nächste Schritte