View a markdown version of this page

Considérations de sécurité relatives au mode automatique Amazon EKS - Amazon EKS
Sécurité et authentification de l’APISécurité du réseauSécurité des instances EC2 géréesGestion automatisée des ressourcesBonnes pratiques de sécurité

Aidez à améliorer cette page

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Pour contribuer à ce guide de l'utilisateur, cliquez sur le GitHub lien Modifier cette page qui se trouve dans le volet droit de chaque page.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Considérations de sécurité relatives au mode automatique Amazon EKS

Cette rubrique décrit l’architecture de sécurité, les mécanismes de contrôle et les meilleures pratiques appliqués dans le mode automatique Amazon EKS. À mesure que les organisations déploient des applications conteneurisées à grande échelle, le maintien d’une posture de sécurité solide devient de plus en plus complexe. Le mode automatique EKS met en œuvre des contrôles de sécurité automatisés et s'intègre aux services de AWS sécurité pour vous aider à protéger l'infrastructure, les charges de travail et les données de votre cluster. Grâce à des fonctionnalités de sécurité intégrées, telles que la gestion obligatoire du cycle de vie des nœuds et le déploiement automatisé des correctifs, le mode automatique EKS vous aide à maintenir les meilleures pratiques de sécurité tout en réduisant la charge opérationnelle.

Avant d’aborder cette rubrique, assurez-vous d’être familier avec les concepts de base du mode automatique EKS et d’avoir consulté les prérequis pour l’activer sur vos clusters. Pour des informations générales sur la sécurité d’Amazon EKS, consultez Sécurité dans Amazon EKS.

Le mode automatique Amazon EKS repose sur les fondations de sécurité existantes d’Amazon EKS tout en introduisant des contrôles de sécurité automatisés supplémentaires pour les instances gérées EC2.

Sécurité et authentification de l’API

Amazon EKS Auto Mode utilise les mécanismes de sécurité de la AWS plateforme pour sécuriser et authentifier les appels à l'API Amazon EKS.

Sécurité du réseau

Le mode automatique Amazon EKS prend en charge plusieurs niveaux de sécurité réseau :

Sécurité des instances EC2 gérées

Le mode automatique Amazon EKS exploite des instances EC2 gérées avec les contrôles de sécurité suivants :

Sécurité EC2

  • Les instances gérées EC2 conservent les fonctionnalités de sécurité d’Amazon EC2.

  • Pour plus d’informations sur les instances gérées EC2, consultez la section Sécurité dans Amazon EC2.

Gestion du cycle de vie des instances

Les instances gérées EC2 gérées par EKS Auto Mode ont une durée de vie maximale de 21 jours. Le mode automatique Amazon EKS met automatiquement fin aux instances qui dépassent cette durée. Cette limite de cycle de vie permet d’éviter toute dérive de configuration et de maintenir une posture de sécurité solide.

Protection des données

  • Le stockage des instances Amazon EC2 est chiffré. Il s’agit d’un stockage directement connecté à l’instance. Pour de plus amples informations, consultez la section Protection des données dans Amazon EC2.

  • Le mode automatique EKS gère les volumes rattachés aux instances EC2 au moment de leur création, y compris les volumes racine et les volumes de données. Le mode automatique EKS ne gère pas entièrement les volumes EBS créés via les fonctionnalités de stockage persistant de Kubernetes.

Gestion des correctifs

  • Le mode automatique Amazon EKS applique automatiquement les correctifs aux instances gérées.

  • Les correctifs incluent :

    • Mises à jour du système d’exploitation

    • Correctifs de sécurité

    • Composants du mode automatique Amazon EKS

Note

Les clients retiennent la responsabilité de la sécurisation et de la mise à jour des charges de travail exécutées sur ces instances.

Contrôles d’accès

  • L’accès direct aux instances est restreint :

    • L’accès SSH n’est pas disponible.

    • AWS L'accès au gestionnaire de session de Systems Manager (SSM) n'est pas disponible.

  • Les opérations de gestion sont effectuées via l’API Amazon EKS et l’API Kubernetes.

Gestion automatisée des ressources

Le mode automatique Amazon EKS ne gère pas entièrement les volumes Amazon Elastic Block Store (Amazon EBS) créés à l’aide des fonctionnalités de stockage persistant Kubernetes. Le mode automatique EKS ne gère pas non plus les équilibreurs de charge Elastic Load Balancer (ELB). Cependant, le mode automatique Amazon EKS automatise les tâches courantes liées à ces ressources.

Sécurité du stockage

  • AWS recommande d'activer le chiffrement pour les volumes EBS provisionnés par les fonctionnalités de stockage persistant de Kubernetes. Pour plus d’informations, consultez Création d’une classe de stockage.

  • Chiffrement au repos à l'aide de AWS KMS

  • Vous pouvez configurer votre AWS compte pour appliquer le chiffrement des nouveaux volumes EBS et des copies instantanées que vous créez. Pour plus d’informations, consultez Activation du chiffrement Amazon EBS par défaut dans le Guide de l’utilisateur Amazon EBS.

  • Pour plus d’informations, consultez Sécurité dans Amazon EBS.

Sécurité des équilibreurs de charge

  • Configuration automatisée des équilibreurs de charge Elastic Load Balancer

  • SSL/TLS gestion des certificats via l'intégration AWS de Certificate Manager

  • Automatisation des groupes de sécurité pour le contrôle d’accès aux équilibreurs de charge

  • Pour plus d’informations, consultez Sécurité dans Elastic Load Balancing.

Bonnes pratiques de sécurité

La section suivante décrit les bonnes pratiques en matière de sécurité pour le mode automatique Amazon EKS.

  • Passez régulièrement en revue les politiques AWS IAM et les entrées d'accès EKS.

  • Lorsque vous utilisez des sélecteurs de balises pour des sous-réseaux et des groupes de sécurité dans unNodeClass, le mode automatique EKS sélectionne automatiquement tout sous-réseau ou groupe de sécurité qui possède une balise correspondante, y compris les ressources qui seront balisées ultérieurement. Si vous devez contrôler exactement les sous-réseaux et les groupes de sécurité que le mode automatique peut utiliser, ne vous fiez pas uniquement à la sélection des balises. Définissez plutôt le rôle IAM du cluster Amazon EKS Auto Mode afin qu'il ec2:CreateNetworkInterface soit limité à des sous-réseaux et à des groupes de sécurité spécifiques. Plutôt que de joindre la politique AmazonEKSNetworkingPolicy gérée telle quelle, utilisez une stratégie gérée par le client qui limite les ressources ec2:CreateNetworkInterface au sous-réseau et au groupe de sécurité prévus, ou associez une politique supplémentaire qui interdit l'action sur toutes les autres ressources. Pour plus d'informations, consultez la section Éléments de politique JSON IAM : NotResource dans le guide de l'utilisateur IAM.

  • Mettez en œuvre le principe du moindre privilège pour les charges de travail.

  • Surveillez l'activité du cluster via AWS CloudTrail Amazon CloudWatch. Pour plus d’informations, consultez Journaliser les appels d’API en tant qu’événements AWS CloudTrail et Surveillez les données du cluster avec Amazon CloudWatch.

  • Utilisez AWS Security Hub pour évaluer la posture de sécurité.

  • Mettez en œuvre des normes de sécurité des pods adaptées aux charges de travail.