Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Modo automático EKS: seguridad

Amazon EKS Auto Mode presenta capacidades de seguridad mejoradas al extender la administración de seguridad de AWS más allá del plano de control para incluir nodos de trabajo y componentes principales del clúster. Este modelo de seguridad integral ayuda a las organizaciones a mantener una postura de seguridad sólida y, al mismo tiempo, a reducir la sobrecarga operativa.

Modelo de responsabilidad compartida: modo automático EKS

Las principales mejoras de seguridad del modo automático EKS incluyen:

El modo automático de EKS aplica estos controles de seguridad de forma predeterminada, lo que ayuda a las organizaciones a cumplir sus requisitos de seguridad y conformidad, a la vez que simplifica las operaciones de los clústeres. Este enfoque se ajusta a defense-in-depth los principios y proporciona varios niveles de controles de seguridad a nivel de infraestructura, nodo y carga de trabajo.

Arquitectura de seguridad

El modo automático de EKS implementa controles de seguridad en varios niveles de la infraestructura de EKS, desde el plano de control hasta los nodos individuales. Comprender esta arquitectura es crucial para gestionar y proteger de forma eficaz los clústeres de EKS.

Seguridad del plano de control

El plano de control EKS en el modo automático EKS mantiene los mismos estándares de alta seguridad que los clústeres EKS tradicionales, al tiempo que añade nuevas capacidades de seguridad:

Gestión de acceso e integración de IAM

El modo automático de EKS proporciona una integración mejorada con AWS Identity and Access Management (IAM) a través de EKS Access Entries y EKS Pod Identity.

Administración de acceso a clústeres

El modo automático de EKS introduce mejoras en la gestión del acceso a los clústeres a través de la API de gestión de acceso a los clústeres (CAM):

Se pueden crear entradas de acceso para gestionar el acceso a los clústeres:

aws eks create-access-entry \
    --cluster-name ${EKS_CLUSTER_NAME} \
    --principal-arn arn:aws:iam::${ACCOUNT_ID}:role/${IAM_ROLE_NAME} \
    --type STANDARD

Pod Identity de EKS

El modo automático de EKS viene con el Pod Identity Agent ya implementado, lo que permite conceder permisos de AWS IAM a los pods de forma simplificada:

aws eks create-pod-identity-association \
  --cluster-name ${EKS_CLUSTER_NAME} \
  --role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${IAM_ROLE_NAME} \
  --namespace ${NAMESPACE} \
  --service-account ${SERVICE_ACCOUNT_NAME}

Rol de IAM del nodo

El modo automático EKS utiliza un nuevo modo AmazonEKSWorkerNodeMinimalPolicy que solo proporciona los permisos necesarios para que funcionen los nodos del modo automático EKS. Estos permisos:

Este enfoque político mínimo ayuda a mejorar la postura de seguridad al limitar los permisos disponibles para el nodo y sus cargas de trabajo.

Seguridad de nodos

El modo automático EKS introduce varias mejoras de seguridad importantes a nivel de nodo:

Seguridad de instancias gestionadas por EC2

Los nodos de EKS Auto Mode utilizan instancias gestionadas por Amazon EC2 con propiedades de seguridad mejoradas:

Seguridad del sistema operativo

El sistema operativo es una variante personalizada de Bottlerocket, optimizada para el modo automático EKS, que incluye:

Seguridad de los componentes de los nodos

Los componentes del nodo se configuran con las mejores prácticas de seguridad:

Seguridad de la red

El modo automático de EKS implementa varias funciones de seguridad de red para garantizar una comunicación segura dentro del clúster y con recursos externos:

Política de red CNI de VPC

El modo automático de EKS aprovecha el soporte nativo de políticas de red de Kubernetes del complemento CNI de Amazon VPC:

Para habilitar el soporte de políticas de red en el modo automático de EKS, debe configurar el complemento CNI de VPC con un manifiesto. configMap A continuación se muestra un ejemplo:

apiVersion: v1
kind: ConfigMap
metadata:
  name: amazon-vpc-cni
  namespace: kube-system
data:
  enable-network-policy: "true"

También es necesario definir si el soporte de la política de red está configurado en la clase de nodos, como se muestra a continuación:

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: example-node-class
spec:
  networkPolicy: DefaultAllow
  networkPolicyEventLogs: Enabled

Una vez activado, puede crear políticas de red para controlar el tráfico:

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

Gestión de ENI mejorada

El modo automático de EKS proporciona una seguridad mejorada para la administración de la interfaz de red elástica (ENI):

Seguridad del almacenamiento

El modo automático EKS proporciona funciones de seguridad mejoradas para el almacenamiento efímero y persistente:

Almacenamiento efímero

Volúmenes de EBS

Integración de EFS

Monitoreo y registro

El modo automático de EKS ofrece funciones mejoradas de supervisión y registro para ayudarle a mantener la visibilidad del estado operativo y del estado de seguridad del clúster.

Registro de plano de control

El modo automático EKS mantiene las mismas capacidades de registro en el plano de control que el EKS estándar, pero habilita todos los registros de forma predeterminada para mejorar la supervisión.

Registro a nivel de nodo

El modo automático EKS mejora el registro a nivel de nodo:

GuardDuty Integración con Amazon

Los clústeres de modo automático de EKS se integran a la perfección con Amazon GuardDuty para mejorar la detección de amenazas. Entre sus características se incluyen:

Para habilitar la protección del modo automático de EKS en Amazon GuardDuty for Kubernetes Audit Logs, puede ejecutar el siguiente comando:

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --data-sources '{"Kubernetes":{"AuditLogs":{"Enable":true}}}'

GuardDuty Integración de Amazon para seguridad en tiempo de ejecución

Amazon GuardDuty proporciona una supervisión de seguridad esencial en tiempo de ejecución para los clústeres de modo automático de EKS, y ofrece capacidades integrales de detección de amenazas y supervisión de la seguridad. Esta integración es particularmente importante, ya que ayuda a identificar posibles amenazas de seguridad y actividades maliciosas en tiempo real.

GuardDuty Características principales del modo automático EKS

Para habilitar la protección del modo automático de EKS en Amazon GuardDuty for Kubernetes Audit Logs and Runtime Monitoring, puede ejecutar el siguiente comando:

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --data-sources '{
        "Kubernetes": {
            "AuditLogs": {"Enable": true},
            "RuntimeMonitoring": {"Enable": true}
        }
    }'

GuardDuty Integración de los resultados

GuardDuty los hallazgos se pueden integrar con otros servicios de AWS para una respuesta automática:

{
  "source": ["aws.guardduty"],
  "detail-type": ["GuardDuty Finding"],
  "detail": {
    "type": ["Runtime:Container/*", "Runtime:Kubernetes/*"],
    "severity": [4, 5, 6, 7, 8]
  }
}

# Enable Security Hub integration
aws securityhub enable-security-hub \
    --enable-default-standards \
    --tags '{"Environment":"Production"}' \
    --region us-west-2

Mejores prácticas para GuardDuty el modo automático EKS

Preguntas frecuentes (FAQ)

P: ¿En qué se diferencia el modo automático EKS del EKS estándar en términos de seguridad? R: El modo automático EKS proporciona una seguridad mejorada mediante instancias gestionadas por EC2, la aplicación automática de parches, la rotación obligatoria de nodos y los controles de seguridad integrados. Reduce la sobrecarga operativa y, al mismo tiempo, mantiene una sólida postura de seguridad al permitir que AWS administre más aspectos de seguridad.

P: ¿Puedo seguir utilizando las herramientas y políticas de seguridad existentes con el modo automático de EKS? R: Sí, el modo automático de EKS es compatible con la mayoría de las herramientas y políticas de seguridad existentes. Sin embargo, es posible que algunas herramientas de seguridad a nivel de nodo deban adaptarse debido a la naturaleza gestionada de los nodos del modo automático de EKS.

P: ¿Cómo puedo implementar los agentes de seguridad y las herramientas de monitoreo en el modo automático de EKS? R: En el modo automático de EKS, los agentes de seguridad y las herramientas de supervisión se deben implementar como cargas de trabajo de Kubernetes (normalmente DaemonSets, se despliega una instancia del pod en cada nodo de forma predeterminada) en lugar de instalarse directamente en el sistema operativo del nodo. Este enfoque se alinea con el modelo de infraestructura inmutable del modo automático de EKS. Ejemplo:

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: security-agent
  namespace: security
spec:
  selector:
    matchLabels:
      app: security-agent
  template:
    metadata:
      labels:
        app: security-agent
    spec:
      containers:
      - name: security-agent
        image: security-vendor/agent:latest
        securityContext:
          privileged: false
          # Use specific capabilities instead of privileged mode
          capabilities:
            add: ["NET_ADMIN", "SYS_ADMIN"]

P: ¿Las soluciones de seguridad de terceros son compatibles con el modo automático EKS? R: Muchas soluciones de seguridad populares de terceros se han actualizado para que sean compatibles con el modo automático EKS, pero siempre se recomienda comprobar con el proveedor de seguridad la versión específica y los requisitos de implementación, ya que la compatibilidad con el modo automático de EKS puede requerir versiones actualizadas o configuraciones de implementación específicas.

P: ¿Cuáles son las limitaciones de los agentes de seguridad en el modo automático de EKS? R: Las principales limitaciones incluyen:

P: ¿Puedo usar el modo personalizado AMIs con el modo automático EKS? R: En este momento, el modo automático EKS no admite el modo personalizado AMIs. Esto se debe a su diseño, ya que AWS administra la seguridad, los parches y el mantenimiento de los nodos como parte del modelo de responsabilidad compartida. Los nodos del modo automático de EKS utilizan una variante especializada de Bottlerocket optimizada y mantenida por AWS.

P: ¿Con qué frecuencia se giran automáticamente los nodos en el modo automático EKS? R: Los nodos en el modo automático EKS tienen una vida útil máxima de 21 días. Se reemplazarán automáticamente antes de este límite, lo que garantiza la aplicación de parches y las actualizaciones de seguridad periódicas.

P: ¿Puedo utilizar SSH en los nodos del modo automático de EKS para solucionar problemas? R: No, el acceso SSH directo no está disponible en el modo automático EKS. En su lugar, puede utilizar la definición de recursos NodeDiagnostic personalizada (CRD) para recopilar los registros del sistema y la información de depuración.

P: ¿La compatibilidad con las políticas de red está habilitada de forma predeterminada en el modo automático de EKS? R: Por ahora, el soporte de políticas de red debe habilitarse de forma explícita a través de la configuración del complemento CNI de la VPC. Una vez activado, puedes usar las políticas de red estándar de Kubernetes.

P: ¿Debo usar IRSA o Pod Identity con el modo automático EKS? R: Si bien ambos son compatibles, Pod Identity es el enfoque recomendado en el modo automático de EKS, ya que ya incluye el complemento de agente Pod Identity Security y ofrece funciones de seguridad mejoradas y una administración simplificada.

P: ¿Puedo seguir utilizando el aws-auth ConfigMap en el modo EKS Auto? R: Se aws-auth ConfigMap trata de una función obsoleta. Se recomienda utilizar el enfoque predeterminado de autenticación basada en API para mejorar la seguridad y simplificar la administración del acceso.

P: ¿Cómo puedo monitorear los eventos de seguridad en el modo automático de EKS? R: El modo automático EKS se integra con múltiples soluciones de monitoreo GuardDuty, que incluyen CloudWatch, y CloudTrail. GuardDuty proporciona una supervisión mejorada de la seguridad en tiempo de ejecución específica para las cargas de trabajo de EKS.

P: ¿Cómo recopilo los registros de los nodos del modo automático de EKS? R: Utilice el NodeDiagnostic CRD, que carga automáticamente los registros a un bucket de S3. También puede utilizar CloudWatch Container Insights y AWS Distro para OpenTelemetry.