Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Automatischer EKS-Modus — Sicherheit

Amazon EKS Auto Mode bietet erweiterte Sicherheitsfunktionen, indem das Sicherheitsmanagement von AWS über die Kontrollebene hinaus auf Worker-Knoten und zentrale Cluster-Komponenten ausgedehnt wird. Dieses umfassende Sicherheitsmodell hilft Unternehmen dabei, ein solides Sicherheitsniveau aufrechtzuerhalten und gleichzeitig den betrieblichen Aufwand zu reduzieren.

Modell mit geteilter Verantwortung — EKS Auto Mode

Zu den wichtigsten Sicherheitsverbesserungen im automatischen Modus von EKS gehören:

Der automatische Modus von EKS setzt diese Sicherheitskontrollen standardmäßig durch und hilft Unternehmen dabei, ihre Sicherheits- und Compliance-Anforderungen zu erfüllen und gleichzeitig den Clusterbetrieb zu vereinfachen. Dieser Ansatz entspricht den defense-in-depth Prinzipien und bietet mehrere Ebenen von Sicherheitskontrollen auf Infrastruktur-, Knoten- und Workload-Ebene.

Sicherheitsarchitektur

Der automatische Modus von EKS implementiert Sicherheitskontrollen auf mehreren Ebenen der EKS-Infrastruktur, von der Steuerungsebene bis hin zu einzelnen Knoten. Das Verständnis dieser Architektur ist entscheidend für die effektive Verwaltung und Sicherung Ihrer EKS-Cluster.

Sicherheit auf der Kontrollebene

Die EKS-Steuerebene im EKS-Automatikmodus behält dieselben hohen Sicherheitsstandards wie herkömmliche EKS-Cluster bei und bietet gleichzeitig neue Sicherheitsfunktionen:

IAM-Integration und Zugriffsmanagement

Der automatische Modus von EKS bietet eine verbesserte Integration mit AWS Identity and Access Management (IAM) über EKS Access Entries und EKS Pod Identity.

Cluster-Zugriffsverwaltung

Der automatische Modus von EKS bietet Verbesserungen bei der Cluster-Zugriffsverwaltung über die Cluster Access Management (CAM) -API:

Zugriffseinträge können erstellt werden, um den Clusterzugriff zu verwalten:

aws eks create-access-entry \
    --cluster-name ${EKS_CLUSTER_NAME} \
    --principal-arn arn:aws:iam::${ACCOUNT_ID}:role/${IAM_ROLE_NAME} \
    --type STANDARD

EKS Pod Identity

Der automatische Modus von EKS wird mit dem bereits bereitgestellten Pod Identity Agent geliefert, sodass Pods auf optimierte Weise AWS IAM-Berechtigungen erteilt werden können:

aws eks create-pod-identity-association \
  --cluster-name ${EKS_CLUSTER_NAME} \
  --role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${IAM_ROLE_NAME} \
  --namespace ${NAMESPACE} \
  --service-account ${SERVICE_ACCOUNT_NAME}

Knoten-IAM-Rolle

Der EKS-Automodus verwendet einen neuen Modus, der nur AmazonEKSWorkerNodeMinimalPolicy die Berechtigungen bereitstellt, die für den Betrieb der EKS-Automodus-Knoten erforderlich sind. Diese Berechtigungen:

Dieser Ansatz mit minimalen Richtlinien trägt zur Verbesserung der Sicherheitslage bei, indem die für den Knoten und seine Workloads verfügbaren Berechtigungen eingeschränkt werden.

Sicherheit der Knoten

Der automatische Modus von EKS bietet mehrere signifikante Sicherheitsverbesserungen auf Knotenebene:

Sicherheit verwalteter EC2-Instances

EKS-Automodus-Knoten verwenden Amazon EC2 Managed Instances mit erweiterten Sicherheitseigenschaften:

Betriebssystemsicherheit

Das Betriebssystem ist eine benutzerdefinierte Variante von Bottlerocket, die für den EKS-Automatikmodus optimiert wurde und Folgendes beinhaltet:

Sicherheit der Knotenkomponenten

Für die Konfiguration der Knotenkomponenten gelten bewährte Sicherheitsmethoden:

Netzwerksicherheit

Der automatische Modus von EKS implementiert mehrere Netzwerksicherheitsfunktionen, um eine sichere Kommunikation innerhalb des Clusters und mit externen Ressourcen zu gewährleisten:

VPC CNI-Netzwerkrichtlinie

Der EKS Auto Mode nutzt die native Kubernetes-Netzwerkrichtlinien-Unterstützung des Amazon VPC CNI-Plug-ins:

Um die Unterstützung von Netzwerkrichtlinien im automatischen EKS-Modus zu aktivieren, müssen Sie das VPC CNI-Add-on mit einem configMap Manifest konfigurieren. Ein Beispiel:

apiVersion: v1
kind: ConfigMap
metadata:
  name: amazon-vpc-cni
  namespace: kube-system
data:
  enable-network-policy: "true"

Es ist auch erforderlich, zu definieren, dass die Netzwerkrichtlinien-Unterstützung in der Node-Klasse konfiguriert ist, wie hier dargestellt:

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: example-node-class
spec:
  networkPolicy: DefaultAllow
  networkPolicyEventLogs: Enabled

Nach der Aktivierung können Sie Netzwerkrichtlinien zur Steuerung des Datenverkehrs erstellen:

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

Verbessertes ENI-Management

Der automatische Modus von EKS bietet verbesserte Sicherheit für das Elastic Network Interface (ENI) -Management:

Speichersicherheit

Der automatische Modus von EKS bietet erweiterte Sicherheitsfunktionen sowohl für kurzlebigen als auch für persistenten Speicher:

Kurzlebiger Speicher

EBS-Volumes

EFS-Integration

Überwachung und Protokollierung

Der automatische Modus von EKS bietet erweiterte Überwachungs- und Protokollierungsfunktionen, damit Sie den Überblick über die Sicherheitslage und den Betriebszustand Ihres Clusters behalten können.

Steuerebenen-Protokollierung

Der automatische Modus von EKS bietet dieselben Protokollierungsfunktionen auf der Steuerungsebene wie das Standard-EKS, aktiviert jedoch standardmäßig alle Protokolle, um die Überwachung zu verbessern.

Protokollierung auf Knotenebene

Der automatische EKS-Modus verbessert die Protokollierung auf Knotenebene:

GuardDuty Amazon-Integration

EKS-Auto-Mode-Cluster lassen sich nahtlos in Amazon integrieren, GuardDuty um die Bedrohungserkennung zu verbessern. Zu den Merkmalen gehören:

Um den EKS-Automode-Schutz auf Amazon GuardDuty for Kubernetes Audit Logs zu aktivieren, können Sie den folgenden Befehl ausführen:

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --data-sources '{"Kubernetes":{"AuditLogs":{"Enable":true}}}'

GuardDuty Amazon-Integration für Runtime-Sicherheit

Amazon GuardDuty bietet grundlegende Runtime-Sicherheitsüberwachung für EKS-Auto-Mode-Cluster und bietet umfassende Funktionen zur Bedrohungserkennung und Sicherheitsüberwachung. Diese Integration ist besonders wichtig, da sie dabei hilft, potenzielle Sicherheitsbedrohungen und böswillige Aktivitäten in Echtzeit zu identifizieren.

GuardDuty Hauptfunktionen für den EKS-Automatikmodus

Um den EKS-Automode-Schutz auf Amazon GuardDuty für Kubernetes Audit Logs and Runtime Monitoring zu aktivieren, können Sie den folgenden Befehl ausführen:

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --data-sources '{
        "Kubernetes": {
            "AuditLogs": {"Enable": true},
            "RuntimeMonitoring": {"Enable": true}
        }
    }'

GuardDuty Integration der Ergebnisse

GuardDuty Die Ergebnisse können in andere AWS-Services integriert werden, um eine automatisierte Reaktion zu ermöglichen:

{
  "source": ["aws.guardduty"],
  "detail-type": ["GuardDuty Finding"],
  "detail": {
    "type": ["Runtime:Container/*", "Runtime:Kubernetes/*"],
    "severity": [4, 5, 6, 7, 8]
  }
}

# Enable Security Hub integration
aws securityhub enable-security-hub \
    --enable-default-standards \
    --tags '{"Environment":"Production"}' \
    --region us-west-2

Bewährte Methoden für GuardDuty den EKS-Automatikmodus

Häufig gestellte Fragen (FAQ)

F: Wie unterscheidet sich der EKS Auto Mode in Bezug auf die Sicherheit vom Standard-EKS? A: Der automatische EKS-Modus bietet erweiterte Sicherheit durch EC2-verwaltete Instances, automatisiertes Patchen, obligatorische Knotenrotation und integrierte Sicherheitskontrollen. Es reduziert den betrieblichen Aufwand und sorgt gleichzeitig für ein hohes Maß an Sicherheit, da AWS mehr Sicherheitsaspekte verwaltet.

F: Kann ich mit dem automatischen Modus von EKS weiterhin vorhandene Sicherheitstools und -richtlinien verwenden? A: Ja, der automatische Modus von EKS ist mit den meisten vorhandenen Sicherheitstools und -richtlinien kompatibel. Einige Sicherheitstools auf Knotenebene müssen jedoch möglicherweise angepasst werden, da die EKS-Automodus-Knoten verwaltet werden.

F: Wie setze ich Sicherheitsagenten und Überwachungstools im automatischen EKS-Modus ein? A: Im automatischen EKS-Modus sollten Sicherheitsagenten und Überwachungstools als Kubernetes-Workloads bereitgestellt werden (in der Regel wird standardmäßig eine Pod-Instanz auf jedem Knoten bereitgestellt) DaemonSets, anstatt sie direkt auf dem Betriebssystem des Knotens zu installieren. Dieser Ansatz entspricht dem unveränderlichen Infrastrukturmodell von EKS Auto Mode. Beispiel:

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: security-agent
  namespace: security
spec:
  selector:
    matchLabels:
      app: security-agent
  template:
    metadata:
      labels:
        app: security-agent
    spec:
      containers:
      - name: security-agent
        image: security-vendor/agent:latest
        securityContext:
          privileged: false
          # Use specific capabilities instead of privileged mode
          capabilities:
            add: ["NET_ADMIN", "SYS_ADMIN"]

F: Sind Sicherheitslösungen von Drittanbietern mit EKS Auto Mode kompatibel? A: Viele beliebte Sicherheitslösungen von Drittanbietern wurden aktualisiert, um den EKS Auto Mode zu unterstützen. Es wird jedoch immer empfohlen, die spezifischen Versions- und Bereitstellungsanforderungen mit Ihrem Sicherheitsanbieter zu überprüfen, da für die Unterstützung des EKS Auto Mode möglicherweise aktualisierte Versionen oder spezifische Bereitstellungskonfigurationen erforderlich sind.

F: Was sind die Einschränkungen für Security Agents im EKS Auto Mode? A: Zu den wichtigsten Einschränkungen gehören:

F: Kann ich den benutzerdefinierten Modus AMIs mit dem EKS-Automatikmodus verwenden? A: Derzeit unterstützt der EKS-Automodus keine benutzerdefinierten Einstellungen AMIs. Dies ist beabsichtigt, da AWS die Sicherheit, das Patchen und die Wartung der Knoten im Rahmen des Modells der gemeinsamen Verantwortung verwaltet. Die EKS-Automodus-Knoten verwenden eine spezielle Variante von Bottlerocket, die von AWS optimiert und gewartet wird.

F: Wie oft werden Knoten im EKS-Automodus automatisch rotiert? A: Knoten im EKS-Automatikmodus haben eine maximale Lebensdauer von 21 Tagen. Sie werden vor Ablauf dieser Grenze automatisch ersetzt, sodass regelmäßige Sicherheitsupdates und Patches gewährleistet sind.

F: Kann ich zur Fehlerbehebung per SSH auf EKS-Automodus-Knoten zugreifen? A: Nein, direkter SSH-Zugriff ist im EKS-Automatikmodus nicht verfügbar. Stattdessen können Sie die NodeDiagnostic Custom Resource Definition (CRD) zum Sammeln von Systemprotokollen und Debugging-Informationen verwenden.

F: Ist die Unterstützung für Netzwerkrichtlinien im automatischen EKS-Modus standardmäßig aktiviert? A: Vorerst muss die Unterstützung von Netzwerkrichtlinien explizit über die VPC CNI-Add-On-Konfiguration aktiviert werden. Nach der Aktivierung können Sie die standardmäßigen Kubernetes-Netzwerkrichtlinien verwenden.

F: Sollte ich IRSA oder Pod Identity mit EKS Auto Mode verwenden? A: Obwohl beide unterstützt werden, ist Pod Identity der empfohlene Ansatz im EKS-Automatikmodus, da er bereits das Pod Identity Security Agent-Add-on enthält und erweiterte Sicherheitsfunktionen und eine vereinfachte Verwaltung bietet.

F: Kann ich aws-auth weiterhin ConfigMap im automatischen EKS-Modus verwenden? A: Das aws-auth ConfigMap ist eine veraltete Funktion. Es wird empfohlen, den Standardansatz der API-basierten Authentifizierung zu verwenden, um die Sicherheit zu erhöhen und die Zugriffsverwaltung zu vereinfachen.

F: Wie kann ich Sicherheitsereignisse im automatischen EKS-Modus überwachen? A: Der EKS Auto Mode lässt sich in mehrere Überwachungslösungen integrieren GuardDuty, darunter CloudWatch, und CloudTrail. GuardDuty bietet eine verbesserte Runtime-Sicherheitsüberwachung speziell für EKS-Workloads.

F: Wie sammle ich Protokolle von EKS-Automodus-Knoten? A: Verwenden Sie die NodeDiagnostic CRD, die Protokolle automatisch in einen S3-Bucket hochlädt. Sie können CloudWatch Container Insights und AWS Distro auch für OpenTelemetry verwenden.