黑客24小时在线接单的网站

黑客24小时在线接单的网站

2022年04月03日 18:04:00

如何保护Kubernetes的机密信息

现如今开发的大多数应用程序，或多或少都会用到一些敏感信息，用于执行某些业务逻辑。比如使用用户名密码去连接数据库，或者使用秘钥连接第三方服务。在代码中直接使用这些密码或者秘钥是最直接的方式，但同时也带来了很大的安全问题，如何保证密码、秘钥不被泄露。

如果你的应用程序已经被容器化，且使用Kubernetes(k8s)，那情况会好很多。Kubernetes提供了一个原生资源，称为“Secret”，可用于管理和存储敏感信息。敏感信息被编码为未加密的Base64格式，并被存储在Secret对象中。Secret可以作为环境变量被注入到Pod内部的容器中，也可以作为数据卷挂载到容器内部。

为了保证敏感信息的安全性，Secret对象应该被加密，并且应该使用Kubernetes RBAC机制对访问进行控制。如果你正在使用AWS公有云来托管Kubernetes集群，则可以利用AWS密钥管理服务(KMS)对静态数据进行加密。

Kubernetes的清单文件通常被提交到代码仓库中以进行版本控制。但是你可能不希望将敏感信息以纯文本或Base64编码字符串的形式提交到Git代码仓库中。我们都应该知道为什么，这不安全!但是，你在Kubernetes集群之外将敏感数据保存在何处，以确保它们是安全的?

有很多方法可以解决这个问题。下面列出了其中几个：

选项1：加密纯文本敏感数据，然后再提交到Git代码仓库中

  • 使用对称或非对称算法加密纯文本敏感数据。
  • 使用Kubernetes Custom Resource Definition(CRD)创建自定义的Secret对象，以使用加密的文本数据。
  • 创建一个自定义Kubernetes控制器，该控制器读取自定义Secret对象中的加密信息，并在运行时解密，并创建一个原生的Secret对象。

使用这种方法，你可以将加密的数据提交到Git代码仓库中。而且它没有风险，因为数据是加密的，只能用你的私钥解密。但是你把私钥放在哪里?

如何存储加密密钥和管理整个加解密过程，可以使用Bitnami的Sealed Secrets。

选择2：使用第三方服务来存储敏感数据

  • 你可以将敏感数据存储到第三方服务中，如AWS Secrets Manager或HashiCorp Vault。
  • 创建自定义Kubernetes控制器，基于配置从这些服务中获取机密信息，并在运行时创建Kubernetes Secret对象。

External Secrets项目可以帮助你实现选项2。

你还可以增强应用程序逻辑，以便在应用程序启动时从第三方服务读取机密信息，但这里的整体思想是将机密信息管理与应用程序业务逻辑分离开来，并利用Kubernetes的功能来进行相同的管理。

快速概览Sealed Secrets

在Sealed Secret开源项目中，你可以将你的Secret加密为一个SealedSecret，这样就可以安全地存储，甚至可以存储到公共存储库中。SealedSecret只能由运行在目标集群中的控制器解密，其他人，甚至包括原始作者，都无法从SealedSecret获得原始的Secret。

Sealed Secrets由两部分组成：

  • 服务器端的控制器
  • 客户端工具：kubeseal

kubeseal使用非对称加密来加密数据，然后只有服务端的控制器才能解密数据。

这些加密数据被编码在SealedSecret资源中，你可以将其视为创建Secret的配方。

下面是如何使用Sealed Secrets来管理Secret的具体步骤。

1、安装kubeseal，这是一个客户端工具，可以帮助你创建SealedSecret

  • >wgethttps://github.com/bitnami-labs/sealed-secrets/releases/download/v0.15.0/kubeseal-linux-amd64-Okubeseal
  • >sudoinstall-m755kubeseal/usr/local/bin/kubeseal

    • 2、安装服务器端控制器，为SealedSecret创建Custom Resource Definition(CRD)

  • >kubectlapply-fhttps://github.com/bitnami-labs/sealed-secrets/releases/download/v0.15.0/controller.yaml
  • rolebinding.rbac.authorization.k8s.io/sealed-secrets-service-proxiercreated
  • role.rbac.authorization.k8s.io/sealed-secrets-key-admincreated
  • clusterrole.rbac.authorization.k8s.io/secrets-unsealercreated
  • deployment.apps/sealed-secrets-controllercreated
  • customresourcedefinition.apiextensions.k8s.io/sealedsecrets.bitnami.comcreated
  • service/sealed-secrets-controllercreated
  • clusterrolebinding.rbac.authorization.k8s.io/sealed-secrets-controllercreated
  • serviceaccount/sealed-secrets-controllercreated
  • role.rbac.authorization.k8s.io/sealed-secrets-service-proxiercreated
  • rolebinding.rbac.authorization.k8s.io/sealed-secrets-controllercreated

    • 3、验证sealed-secret controller Pod是否运行

  • >kubectlgetpods-nkube-system-lname=sealed-secrets-controller
  • NAMEREADYSTATUSRESTARTSAGE
  • sealed-secrets-controller-7c766b885b-d5r2r1/1Running07m39s

    • 如果你查看Pod的日志，你将看到控制器为自己创建的一对秘钥，这对秘钥将被用于加解密过程。

  • >kubectllogssealed-secrets-controller-7c766b885b-d5r2r-nkube-system
  • controllerversion:v0.15.0
  • 2021/05/0120:13:34Startingsealed-secretscontrollerversion:v0.15.0
  • 2021/05/0120:13:34Searchingforexistingprivatekeys
  • 2021/05/0120:13:35Newkeywrittentokube-system/sealed-secrets-keymt6dg
  • 2021/05/0120:13:35Certificateis
  • -----BEGINCERTIFICATE-----
  • MIIErjCCApagAwIBAgIRAJqYfaZsali26I8pvBXoFGYwDQYJKoZIhvcNAQELBQAw
  • ADAeFw0yMTA1MDEyMDEzMzVaFw0zMTA0MjkyMDEzMzVaMAAwggIiMA0GCSqGSIb3
  • DQEBAQUAA4ICDwAwggIKAoICAQDp/yO5PY8ACHBDuguhtfpOwlbScK9hZorJloyx
  • ixVCc57j1zMSX0pSVcrk1Yuyf6sYvBQtDi16kM70z6y/ODiz+9g87K/jY7B0UAoi
  • mpzM/T0tWJiG9ixyNMZhHoNREauokSlbERq3Jl8ZNTfmxHWhLH7DhkJ7MdpQfMpK
  • a3XHcSZyz1mXFqv+OSCCwllWCRHmHgp/vqudAv8+NYm0gnAxKt2fjlv/ObX8J1RI
  • CtLnlsCpp/9SyVcSTeYYaqjUsI7fTUZ7tkTE/bdQHwf3xe4DhUty7xLqMF1OPSPw
  • EetL8fGO0VqoSQFKQ0Bf78+8vhAA2cwkuqB6vQQm9pT3yC5niSCUo+jwFcfyknjr
  • yx8DINbq6K9B40EXh8X7w4I6zwYpyT0GoNU54wW0ki8pHRm7EnFeBOkUvNspzmKn
  • t/EZEDVq74Kkl/BRNRvKHYlwudSoJuvvX6JM8DVvRp0lMPnXnG3RLSmCP3gEFQBZ
  • DhbnkwO+6ADX9Q4vyqelWoHWdVGVULDlMDhSzvEhFFgPcZXzWTShH81vfl8M6lpT
  • U0ysZkA6i3A29XEJpPj35yWPBDWmKF5fLM3ChMt/NSJEeoJN1RboPDAgVUTxEW59
  • q+Tq09/zlYD7Ch8PNc3IWNXjFNXmCAAOw9Z1VBbD8p6LrC5JvBtPoWYqufWVXQD9
  • KDe+6wIDAQABoyMwITAOBgNVHQ8BAf8EBAMCAAEwDwYDVR0TAQH/BAUwAwEB/zAN
  • BgkqhkiG9w0BAQsFAAOCAgEAvu//VzDREYZPPIW1maTxo9C/nHEEuOP0rQU3zVQr
  • bBYf8N0b5wpCllESCgi0JDJJXrE8KrjfdtawjoBrBlHOdWHF+fIot2KbrC/i37em
  • /ulMAgiiJzrKM/ExJuCuH60fsSIx4wrg46tQpU8jHFWq7nGnsaE+UN3QPjuvQ+qo
  • KKDSBLDxLx+q9vBfaXElblh4okUI8Pr4UEEJrYiPzPM6nA9EPpy53N3si4jyDJJb
  • 2IsCUa2bW6iBhpyZOQQUPn22ziWRQ/sYYNmtP/gX0rwtk+Rr8TTdzPYGZcYfMQ6O
  • TFq4Zo2/TnpCL/CUr2DiSuF2qdWGGvbQOENYq2FNuDI4zeljElcZHXA8nhpbNSJs
  • 7VNqqz5ZTFCKyL0Gn6SawGT7EdwBT2AD3F33Qd/7bXG/On7KdVw6FKHbZOR2RcoS
  • YFQv7Xr8g/4atQjxDa7R5+zkxd5unsvpFhYM1UfNJc4cjJ7SmfCCHoPGiwZ0OgqB
  • 6SvUVU64QmMMJ/jYAJkYMOakSHaRITHAvvBjpAMKxSjjb7qZD5FnpXLhRY9lNiY6
  • MnnQRxJskCw+R6geIAHTMzAofMfc1haIEr+3oMFZfyh1LFFsz3B4hMxXYKrWYDje
  • +96bhAY9X7L0UfREjmw8HCeZneEuBJjX9z/PyIeMdhViLh9uO/MAL1MBxdBVA55+
  • LW8=
  • -----ENDCERTIFICATE-----
  • 2021/05/0120:13:35HTTPserverservingon:8080

    • 运行以下命令查看公钥/私钥信息。

  • >kubectlgetsecret-nkube-system-lsealedsecrets.bitnami.com/sealed-secrets-key-oyaml

    • 4、创建一个名为secrets.yaml的Secret清单文件

  • apiVersion:v1
  • data:
  • DB_PWD:cGFzc3dvcmQ=//base64encoded
  • DB_USER:cm9vdA==//base64encoded
  • kind:Secret
  • metadata:
  • name:db-secrets

    • 现在让我们使用kubeseal命令，将secrets.yaml转变为SealedSecret资源清单文件。

  • >kubeseal--format=yaml<secret.yaml>sealed-secret.yaml
  • >catsealed-secret.yaml
  • apiVersion:bitnami.com/v1alpha1
  • kind:SealedSecret
  • metadata:
  • creationTimestamp:null
  • name:db-secrets
  • namespace:default
  • spec:
  • encryptedData:
  • DB_PWD:AgDaCRi27RV4/sVI2ok7JlqBSKT5+c7gGJog+...
  • DB_USER:AgAZG67CrrOBnyKIKha7xhJulr+CQGPaE/PpsjvY8jJR0IDO2...
  • template:
  • metadata:
  • creationTimestamp:null
  • name:db-secrets
  • namespace:default

    • 在上面的步骤中，kubeseal从Kubernetes集群获取公钥并使用该公钥加密数据。

    5、让我们使用SealedSecret资源清单文件，在Kubernetes中创建资源。

  • >kubectlapply-fsealed-secret.yaml

    • 如果你再次检查控制器的日志，你将看到控制器拦截了请求，并解密来自SealedSecret的加密数据，数据被解密后，将创建Kubernetes的Secret对象。

  • >kubectllogssealed-secrets-controller-7c766b885b-d5r2r-nkube-system
  • 2021/05/0120:38:06Updatingdefault/db-secrets
  • 2021/05/0120:38:06Event(v1.ObjectReference{Kind:"SealedSecret",Namespace:"default",Name:"db-secrets",UID:"fd89a7e7-c81a-4110-9de6-6b65195169d3",APIVersion:"bitnami.com/v1alpha1",ResourceVersion:"19365",FieldPath:""}):type:'Normal'reason:'Unsealed'SealedSecretunsealedsuccessfully

    • 一旦创建了Kubernetes Secret对象，就可以将它作为环境变量注入到容器中，或者作为数据卷挂载。

    上面步骤4中创建的SealedSecret资源清单文件可以被提交到Git代码仓库中。secrets.yaml文件可以丢弃，因为它不再需要了。被存储在sealed-secret.yaml文件中的数据是安全的，它是被加密的，且只能由运行在k8s集群中的Controller解密。

    希望这篇文章能让你知道如何保护Kubernetes的机密信息。

    标签：Kubernetes 加密 容器 

    作者:访客 , 分类:端口扫码 , 浏览:970 , 评论:5

    • 评论列表:
    •  冬马空宴
       发布于 2022-06-15 20:30:34  回复该评论
    • zation.k8s.io/sealed-secrets-service-proxiercreatedrolebinding.rbac.authorization.k8s.io/sealed-secrets-controllercreated3、
    •  假欢常安
       发布于 2022-06-16 00:03:37  回复该评论
    • bernetes Secret对象。External Secrets项目可以帮助你实现选项2。你还可以增强应用程序逻辑，以便在应用程序启动时从第三方服务读取机密信息，但这里的整体思想是将机密信息管理与应用程序业务逻辑分离开来，并利用Kubernetes的功能来进行相同的管理。快速概览
    •  美咩山柰
       发布于 2022-06-15 21:39:19  回复该评论
    • ret创建Custom Resource Definition(CRD)>kubectlapply-fhttps://github.com/bitnami-labs/sealed-secrets/releases/download/v0.15.0/con
    •  野欢竹祭
       发布于 2022-06-15 23:34:16  回复该评论
    • 作为环境变量注入到容器中，或者作为数据卷挂载。上面步骤4中创建的SealedSecret资源清单文件可以被提交到Git代码仓库中。secrets.yaml文件可以丢弃，因为它不再需要了。被存储在
    •  世味旧竹
       发布于 2022-06-15 16:32:30  回复该评论
    • Normal'reason:'Unsealed'SealedSecretunsealedsuccessfully一旦创建了Kubernetes Secret对象，就可以将它作为环境变量注入到容器中，或者作为数据卷挂载。上面步骤4

    发表评论:

    Powered By

    Copyright Your WebSite.Some Rights Reserved.