Segurança do Kubernetes na Nuvem

Quando Usar

• Ao implantar novos clusters Kubernetes gerenciados em produção com requisitos de segurança
• Ao reforçar clusters EKS, AKS ou GKE existentes após uma auditoria de segurança ou achado de pentest
• Ao implementar identidade de workload para eliminar credenciais de nuvem estáticas em pods
• Ao impor políticas de segurança de pod em todos os namespaces para prevenir fugas de contêineres
• Ao integrar monitoramento de segurança em tempo de execução para detectar ameaças em nível de contêiner

Não use para implantações de contêineres que não sejam Kubernetes, como ECS Fargate ou Azure Container Instances, para segurança em nível de aplicativo dentro de contêineres (veja securing-serverless-functions) ou para segurança de pipeline CI/CD (veja implementing-cloud-devsecops).

Pré-requisitos

• Cluster Kubernetes gerenciado provisionado em EKS, AKS ou GKE com acesso de administrador
• kubectl configurado com credenciais de administrador de cluster
• Familiaridade com RBAC do Kubernetes, namespaces e contextos de segurança
• Plugin de interface de rede de contêiner que suporte políticas de rede (Calico, Cilium)

Fluxo de Trabalho

Etapa 1: Impor Padrões de Segurança de Pod

Aplique rótulos de Admissão de Segurança de Pod no nível do namespace para impor o perfil Restrito em namespaces de produção. As Políticas de Segurança de Pod foram removidas no Kubernetes v1.25 e substituídas pela Admissão de Segurança de Pod.

# Production namespace with restricted Pod Security Standard
apiVersion: v1
kind: Namespace
metadata:
  name: production
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: latest
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/warn: restricted
---
# Staging namespace with baseline enforcement
apiVersion: v1
kind: Namespace
metadata:
  name: staging
  labels:
    pod-security.kubernetes.io/enforce: baseline
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/warn: restricted

# Pod spec compliant with restricted profile
apiVersion: v1
kind: Pod
metadata:
  name: secure-app
  namespace: production
spec:
  automountServiceAccountToken: false
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
    fsGroup: 1000
    seccompProfile:
      type: RuntimeDefault
  containers:
    - name: app
      image: company/app:v2.1@sha256:abc123...
      securityContext:
        allowPrivilegeEscalation: false
        readOnlyRootFilesystem: true
        capabilities:
          drop: ["ALL"]
      resources:
        limits:
          cpu: "500m"
          memory: "256Mi"
        requests:
          cpu: "100m"
          memory: "128Mi"

Etapa 2: Configurar Identidade de Workload Nativa da Nuvem

Elimine credenciais de nuvem estáticas em pods vinculando contas de serviço do Kubernetes a roles IAM da nuvem.

# EKS: IAM Roles for Service Accounts (IRSA)
eksctl create iamserviceaccount \
  --cluster production-cluster \
  --namespace production \
  --name web-app-sa \
  --attach-policy-arn arn:aws:iam::123456789012:policy/WebAppS3ReadOnly \
  --approve

# GKE: Workload Identity
gcloud iam service-accounts create web-app-sa \
  --project=my-gcp-project

gcloud iam service-accounts add-iam-policy-binding \
  web-app-sa@my-gcp-project.iam.gserviceaccount.com \
  --role roles/storage.objectViewer \
  --member "serviceAccount:my-gcp-project.svc.id.goog[production/web-app-sa]"

kubectl annotate serviceaccount web-app-sa \
  --namespace production \
  iam.gke.io/gcp-service-account=web-app-sa@my-gcp-project.iam.gserviceaccount.com

# AKS: Azure AD Workload Identity
az identity create --name web-app-identity --resource-group production-rg
az identity federated-credential create \
  --name web-app-federation \
  --identity-name web-app-identity \
  --resource-group production-rg \
  --issuer "$(az aks show -n production-cluster -g production-rg --query oidcIssuerProfile.issuerUrl -o tsv)" \
  --subject system:serviceaccount:production:web-app-sa

Etapa 3: Implementar Políticas de Rede

Implante políticas de rede para restringir a comunicação pod a pod seguindo o princípio do menor privilégio. Por padrão, o Kubernetes permite que todos os pods se comuniquem entre si.

# Nega tudo por padrão para ingress e egress no namespace de produção
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
  namespace: production
spec:
  podSelector: {}
  policyTypes:
    - Ingress
    - Egress
---
# Permite que o web-app receba tráfego apenas do controlador de ingress
apiVersion: networking.k8s.io/v1

…