K8s RBAC權(quán)限最小化

理解 RBAC 概念

RBAC（Role-Based Access Control）是 Kubernetes 中用于控制用戶或服務(wù)賬戶對資源訪問權(quán)限的安全模型。

其核心組件包括：

• Role 和 ClusterRole：定義一組權(quán)限規(guī)則，分別作用于特定命名空間或整個集群
• RoleBinding 和 ClusterRoleBinding：將角色與用戶、組或服務(wù)賬戶關(guān)聯(lián)

實施最小權(quán)限原則

角色設(shè)計精細(xì)化

• 為每個具體任務(wù)創(chuàng)建獨立角色，例如 pod-reader 只包含獲取 Pod 信息的權(quán)限
• 避免使用通配符資源定義（如 *），明確指定 pods、deployments 等具體資源類型
• 限制動詞范圍，僅授予必要操作權(quán)限（如 get、list 而非 create、delete）

命名空間隔離

• 對業(yè)務(wù)敏感度不同的工作負(fù)載劃分到獨立命名空間
• 為每個命名空間創(chuàng)建專屬角色，避免跨命名空間權(quán)限泄露
• 通過 RoleBinding 而非 ClusterRoleBinding 實現(xiàn)權(quán)限綁定

服務(wù)賬戶管控

• 為每個微服務(wù)創(chuàng)建獨立服務(wù)賬戶（ServiceAccount）
• 禁止使用 default 服務(wù)賬戶運行工作負(fù)載
• 通過自動化工具（如 OPA Gatekeeper）強(qiáng)制實施服務(wù)賬戶關(guān)聯(lián)策略

權(quán)限審核與監(jiān)控

定期審計

• 使用 kubectl auth can-i 命令驗證當(dāng)前權(quán)限分配
• 結(jié)合 kubectl get rolebindings --all-namespaces 檢查綁定關(guān)系
• 通過審計日志（Audit Log）追蹤權(quán)限使用情況

權(quán)限提升控制

• 對高權(quán)限角色（如 cluster-admin）實施審批流程
• 使用時間限制的臨時憑證（如通過 Vault 簽發(fā)短期 Token）
• 對敏感操作啟用二次認(rèn)證（如 kubectl 插件審批）

自動化權(quán)限管理

策略即代碼

• 使用 GitOps 工作流管理 RBAC 配置變更
• 通過 Helm 或 Kustomize 模板化角色定義
• 集成 CI/CD 流水線進(jìn)行權(quán)限變更的自動化測試

動態(tài)權(quán)限調(diào)整

• 采用開源工具如 rbac-manager 實現(xiàn)聲明式權(quán)限管理
• 對于短期任務(wù)，配置自動回收的臨時角色
• 通過 Webhook 機(jī)制攔截異常權(quán)限請求

安全加固措施

默認(rèn)拒絕策略

• 在所有命名空間部署 NetworkPolicy 限制非必要訪問
• 配置 PodSecurityPolicy 或 PodSecurity Admission 控制容器權(quán)限
• 啟用 --authorization-mode=RBAC 作為 API Server 的強(qiáng)制選項

權(quán)限泄露防護(hù)

• 定期輪換服務(wù)賬戶憑證
• 監(jiān)控異常權(quán)限使用模式（如短時間內(nèi)大量 list 操作）
• 通過工具如 kube-bench 檢查 RBAC 配置合規(guī)性

典型角色示例

# 只讀角色示例
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: monitoring
  name: metrics-reader
rules:
- apiGroups: [""]
  resources: ["pods", "services"]
  verbs: ["get", "list", "watch"]

權(quán)限驗證公式

檢查用戶是否具有某權(quán)限：

權(quán)限有效性 = 角色權(quán)限 ∩ 綁定范圍 ∩ 請求上下文

通過持續(xù)優(yōu)化上述實踐，可顯著降低 Kubernetes 集群的橫向移動風(fēng)險，符合零信任架構(gòu)的安全要求。建議結(jié)合 CIS Kubernetes Benchmark 進(jìn)行周期性安全評估。

總結(jié)

以上為個人經(jīng)驗，希望能給大家一個參考，也希望大家多多支持腳本之家。

最新評論