Endurecimento do Kubernetes

Proteja clusters e cargas de trabalho do Kubernetes.

Quando Usar Esta Habilidade

Use esta habilidade quando:

• Estiver endurecendo clusters do Kubernetes
• Estiver implementando Padrões de Segurança de Pods
• Estiver configurando políticas de rede
• Estiver atendendo à conformidade de segurança

Escopo e Validação

Confirme o cluster/namespace/versão exatos e as gravações autorizadas antes de aplicar políticas. Exemplos são fragmentos: valide a imagem revisada, namespace, contas de serviço, rótulos e armazenamento de tempo de execução necessário. Fixe a versão da política na versão alvo do Kubernetes onde suportado. Controles de admissão restritos novos/atualizados pods; ele não corrige retroativamente cargas de trabalho em execução nem estabelece conformidade.

Padrões de Segurança de Pods

# Namespace with restricted policy
apiVersion: v1
kind: Namespace
metadata:
  name: production
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/warn: restricted

Contexto de Segurança

apiVersion: v1
kind: Pod
metadata:
  name: secure-pod
  labels:
    app: web
spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
    runAsGroup: 1000
    fsGroup: 1000
    seccompProfile:
      type: RuntimeDefault
  containers:
  - name: app
    image: registry.example.invalid/myapp:REVIEWED_IMMUTABLE_TAG
    securityContext:
      allowPrivilegeEscalation: false
      readOnlyRootFilesystem: true
      capabilities:
        drop: ["ALL"]

Políticas de Rede

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress
---
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-web
spec:
  podSelector:
    matchLabels:
      app: web
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - port: 8080

RBAC

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: app-reader
rules:
- apiGroups: [""]
  resources: ["pods", "services"]
  verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: app-reader-binding
subjects:
- kind: ServiceAccount
  name: myapp
roleRef:
  kind: Role
  name: app-reader
  apiGroup: rbac.authorization.k8s.io

Melhores Práticas

• Habilite Padrões de Segurança de Pods
• Implemente políticas de rede
• Use RBAC com privilégio mínimo
• Habilite o registro de auditoria
• Proteja o etcd com criptografia
• Use service mesh para mTLS
• Varredura de segurança regular

Habilidades Relacionadas

• kubernetes-ops (kubernetes-ops) - Operações K8s
• container-hardening (container-hardening) - Segurança de contêineres

Limitações

• Aplique orientações apenas dentro do escopo autorizado; teste etapas destrutivas em não produção primeiro.
• Importação apenas de documentação: scripts e modelos upstream não incluídos.

Exemplo

# Read-only first: inventory before any active step.
which <tool> && <tool> --help | head -n 20

Adaptado de BagelHole/DevOps-Security-Agent-Skills (MIT); frontmatter, Quando Usar/Limitações e limites de segurança adicionados para conformidade upstream. Importação apenas de documentação: scripts e modelos auxiliares não incluídos.

A aplicação de NetworkPolicy requer um CNI compatível. O exemplo de negação padrão também bloqueia DNS e dependências até que regras estritamente definidas sejam adicionadas; seletores de pod do mesmo namespace não autorizam namespaces arbitrários. Teste fluxos permitidos e negados das identidades de origem reais e preserve o acesso de recuperação. readOnlyRootFilesystem pode exigir volumes temporários graváveis limitados; não o desabilite cegamente após um erro de inicialização. Comportamento da NetworkPolicy do Kubernetes.