Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mode Otomatis EKS - Keamanan

Amazon EKS Auto Mode memperkenalkan kemampuan keamanan yang ditingkatkan dengan memperluas manajemen keamanan AWS di luar bidang kontrol untuk menyertakan node pekerja dan komponen cluster inti. Model keamanan komprehensif ini membantu organisasi mempertahankan postur keamanan yang kuat sekaligus mengurangi overhead operasional.

Model Tanggung Jawab Bersama - Mode Otomatis EKS

Peningkatan keamanan utama dalam Mode Otomatis EKS meliputi:

Mode Otomatis EKS memberlakukan kontrol keamanan ini secara default, membantu organisasi memenuhi persyaratan keamanan dan kepatuhan mereka sambil menyederhanakan operasi klaster. Pendekatan ini selaras dengan defense-in-depth prinsip, menyediakan beberapa lapisan kontrol keamanan di tingkat infrastruktur, node, dan beban kerja.

Arsitektur Keamanan

Mode Otomatis EKS mengimplementasikan kontrol keamanan di beberapa lapisan infrastruktur EKS, dari bidang kontrol hingga node individual. Memahami arsitektur ini sangat penting untuk mengelola dan mengamankan cluster EKS Anda secara efektif.

Kontrol Keamanan Pesawat

Pesawat kontrol EKS dalam Mode Otomatis EKS mempertahankan standar keamanan tinggi yang sama dengan cluster EKS tradisional sambil menambahkan kemampuan keamanan baru:

Integrasi IAM dan Manajemen Akses

EKS Auto Mode menyediakan integrasi yang disempurnakan dengan AWS Identity and Access Management (IAM) melalui EKS Access Entries dan EKS Pod Identity.

Manajemen Akses Cluster

EKS Auto Mode memperkenalkan peningkatan pada manajemen akses cluster melalui Cluster Access Management (CAM) API:

Entri Akses dapat dibuat untuk mengelola akses klaster:

aws eks create-access-entry \
    --cluster-name ${EKS_CLUSTER_NAME} \
    --principal-arn arn:aws:iam::${ACCOUNT_ID}:role/${IAM_ROLE_NAME} \
    --type STANDARD

Identitas Pod EKS

EKS Auto Mode hadir dengan Pod Identity Agent yang sudah di-deploy, memungkinkan cara yang efisien untuk memberikan izin AWS IAM ke Pod:

aws eks create-pod-identity-association \
  --cluster-name ${EKS_CLUSTER_NAME} \
  --role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${IAM_ROLE_NAME} \
  --namespace ${NAMESPACE} \
  --service-account ${SERVICE_ACCOUNT_NAME}

Peran IAM Node

Mode Otomatis EKS menggunakan yang baru AmazonEKSWorkerNodeMinimalPolicy yang hanya menyediakan izin yang diperlukan untuk node Mode Otomatis EKS untuk beroperasi. Izin tersebut:

Pendekatan kebijakan minimal ini membantu meningkatkan postur keamanan dengan membatasi izin yang tersedia untuk node dan beban kerjanya.

Keamanan Node

Mode Otomatis EKS memperkenalkan beberapa peningkatan keamanan yang signifikan di tingkat node:

Keamanan Instans Terkelola EC2

Node Mode Otomatis EKS menggunakan Instans Terkelola Amazon EC2 dengan properti keamanan yang disempurnakan:

Keamanan Sistem Operasi

Sistem operasi adalah varian khusus dari Bottlerocket, dioptimalkan untuk Mode Otomatis EKS, yang meliputi:

Keamanan Komponen Node

Komponen node dikonfigurasi dengan praktik terbaik keamanan:

Keamanan Jaringan

Mode Otomatis EKS mengimplementasikan beberapa fitur keamanan jaringan untuk memastikan komunikasi yang aman di dalam cluster dan dengan sumber daya eksternal:

Kebijakan Jaringan VPC CNI

Mode Otomatis EKS memanfaatkan dukungan Kebijakan Jaringan Kubernetes asli dari Plugin CNI Amazon VPC VPC:

Untuk mengaktifkan dukungan kebijakan jaringan dalam Mode Otomatis EKS, Anda perlu mengonfigurasi add-on VPC CNI dengan manifes. configMap Inilah contohnya:

apiVersion: v1
kind: ConfigMap
metadata:
  name: amazon-vpc-cni
  namespace: kube-system
data:
  enable-network-policy: "true"

Ini juga diperlukan untuk menentukan dukungan Kebijakan Jaringan dikonfigurasi di Kelas Node, seperti yang diilustrasikan di sini:

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: example-node-class
spec:
  networkPolicy: DefaultAllow
  networkPolicyEventLogs: Enabled

Setelah diaktifkan, Anda dapat membuat kebijakan jaringan untuk mengontrol lalu lintas:

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

Manajemen ENI yang Ditingkatkan

Mode Otomatis EKS memberikan peningkatan keamanan untuk manajemen Elastic Network Interface (ENI):

Keamanan Penyimpanan

Mode Otomatis EKS menyediakan fitur keamanan yang disempurnakan untuk penyimpanan sementara dan persisten:

Penyimpanan Ephemeral

Volume EBS

Integrasi EFS

Pemantauan dan Pencatatan

Mode Otomatis EKS menyediakan kemampuan pemantauan dan pencatatan yang disempurnakan untuk membantu Anda mempertahankan visibilitas ke postur keamanan klaster dan kesehatan operasional Anda.

Kontrol Pencatatan Pesawat

Mode Otomatis EKS mempertahankan kemampuan logging bidang kontrol yang sama dengan EKS standar, namun memungkinkan semua log secara default untuk pemantauan yang ditingkatkan.

Pencatatan Tingkat Simpul

Mode Otomatis EKS meningkatkan pencatatan tingkat simpul:

GuardDuty Integrasi Amazon

Kluster Mode Otomatis EKS terintegrasi secara mulus dengan Amazon GuardDuty untuk deteksi ancaman yang ditingkatkan. Fitur meliputi:

Untuk mengaktifkan perlindungan Mode Otomatis EKS di Amazon GuardDuty untuk Kubernetes Audit Logs, Anda dapat menjalankan perintah berikut:

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --data-sources '{"Kubernetes":{"AuditLogs":{"Enable":true}}}'

GuardDuty Integrasi Amazon untuk Keamanan Runtime

Amazon GuardDuty menyediakan pemantauan keamanan runtime penting untuk kluster Mode Otomatis EKS, menawarkan kemampuan deteksi ancaman dan pemantauan keamanan yang komprehensif. Integrasi ini sangat penting karena membantu mengidentifikasi potensi ancaman keamanan dan aktivitas berbahaya secara real-time.

GuardDuty Fitur Utama untuk Mode Otomatis EKS

Untuk mengaktifkan perlindungan Mode Otomatis EKS di Amazon GuardDuty untuk Kubernetes Audit Logs dan Runtime Monitoring, Anda dapat menjalankan perintah berikut:

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --data-sources '{
        "Kubernetes": {
            "AuditLogs": {"Enable": true},
            "RuntimeMonitoring": {"Enable": true}
        }
    }'

GuardDuty Integrasi Temuan

GuardDuty temuan dapat diintegrasikan dengan layanan AWS lainnya untuk respons otomatis:

{
  "source": ["aws.guardduty"],
  "detail-type": ["GuardDuty Finding"],
  "detail": {
    "type": ["Runtime:Container/*", "Runtime:Kubernetes/*"],
    "severity": [4, 5, 6, 7, 8]
  }
}

# Enable Security Hub integration
aws securityhub enable-security-hub \
    --enable-default-standards \
    --tags '{"Environment":"Production"}' \
    --region us-west-2

Praktik Terbaik untuk GuardDuty Mode Otomatis EKS

Pertanyaan yang Sering Diajukan (FAQ)

T: Apa perbedaan Mode Otomatis EKS dari EKS standar dalam hal keamanan? J: Mode Otomatis EKS memberikan keamanan yang ditingkatkan melalui Instans Terkelola EC2, penambalan otomatis, rotasi node wajib, dan kontrol keamanan bawaan. Ini mengurangi overhead operasional sambil mempertahankan postur keamanan yang kuat dengan meminta AWS mengelola lebih banyak aspek keamanan.

T: Apakah saya masih dapat menggunakan alat dan kebijakan keamanan yang ada dengan Mode Otomatis EKS? J: Ya, Mode Otomatis EKS kompatibel dengan sebagian besar alat dan kebijakan keamanan yang ada. Namun, beberapa alat keamanan tingkat simpul mungkin memerlukan adaptasi karena sifat node Mode Otomatis EKS yang dikelola.

T: Bagaimana cara menggunakan agen keamanan dan alat pemantauan dalam Mode Otomatis EKS? A: Dalam Mode Otomatis EKS, agen keamanan dan alat pemantauan harus digunakan sebagai beban kerja Kubernetes (biasanya DaemonSets, yang menyebarkan satu instance Pod pada setiap node secara default) daripada diinstal langsung pada OS node. Pendekatan ini sejalan dengan model infrastruktur yang tidak dapat diubah dari Mode Otomatis EKS. Contoh:

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: security-agent
  namespace: security
spec:
  selector:
    matchLabels:
      app: security-agent
  template:
    metadata:
      labels:
        app: security-agent
    spec:
      containers:
      - name: security-agent
        image: security-vendor/agent:latest
        securityContext:
          privileged: false
          # Use specific capabilities instead of privileged mode
          capabilities:
            add: ["NET_ADMIN", "SYS_ADMIN"]

T: Apakah solusi keamanan pihak ketiga kompatibel dengan Mode Otomatis EKS? J: Banyak solusi keamanan pihak ketiga yang populer telah diperbarui untuk mendukung Mode Otomatis EKS, namun selalu disarankan untuk memverifikasi versi spesifik dan persyaratan penerapan dengan vendor keamanan Anda, karena dukungan untuk Mode Otomatis EKS mungkin memerlukan versi terbaru atau konfigurasi penerapan tertentu.

T: Apa batasan untuk agen keamanan dalam Mode Otomatis EKS? A: Keterbatasan utama meliputi:

T: Dapatkah saya menggunakan kustom AMIs dengan Mode Otomatis EKS? J: Saat ini, Mode Otomatis EKS tidak mendukung kustom AMIs. Ini dirancang karena AWS mengelola keamanan, penambalan, dan pemeliharaan node sebagai bagian dari model tanggung jawab bersama. Node Mode Otomatis EKS menggunakan varian khusus Bottlerocket yang dioptimalkan dan dikelola oleh AWS.

T: Seberapa sering node diputar secara otomatis dalam Mode Otomatis EKS? A: Node dalam Mode Otomatis EKS memiliki masa pakai maksimum 21 hari. Mereka akan diganti secara otomatis sebelum batas ini, memastikan pembaruan keamanan reguler dan aplikasi patch.

T: Dapatkah saya SSH ke node Mode Otomatis EKS untuk pemecahan masalah? J: Tidak, akses SSH langsung tidak tersedia dalam Mode Otomatis EKS. Sebagai gantinya, Anda dapat menggunakan Definisi Sumber Daya NodeDiagnostic Kustom (CRD) untuk mengumpulkan log sistem dan informasi debugging.

T: Apakah dukungan Kebijakan Jaringan diaktifkan secara default dalam Mode Otomatis EKS? J: Untuk saat ini, dukungan Kebijakan Jaringan perlu diaktifkan secara eksplisit melalui konfigurasi add-on VPC CNI. Setelah diaktifkan, Anda dapat menggunakan Kebijakan Jaringan Kubernetes standar.

T: Haruskah saya menggunakan IRSA atau Pod Identity dengan Mode Otomatis EKS? J: Meskipun keduanya didukung, Pod Identity adalah pendekatan yang direkomendasikan dalam Mode Otomatis EKS karena sudah menyertakan add-on agen Pod Identity Security dan menyediakan fitur keamanan yang disempurnakan dan manajemen yang disederhanakan.

T: Apakah saya masih dapat menggunakan aws-auth ConfigMap dalam Mode Otomatis EKS? A: aws-auth ConfigMap Ini adalah fitur usang. Disarankan untuk menggunakan pendekatan default otentikasi berbasis API untuk keamanan yang ditingkatkan dan manajemen akses yang disederhanakan.

T: Bagaimana cara memantau peristiwa keamanan dalam Mode Otomatis EKS? A: Mode Otomatis EKS terintegrasi dengan beberapa solusi pemantauan termasuk GuardDuty, CloudWatch, dan CloudTrail. GuardDuty menyediakan pemantauan keamanan runtime yang ditingkatkan khusus untuk beban kerja EKS.

T: Bagaimana cara mengumpulkan log dari node Mode Otomatis EKS? J: Gunakan NodeDiagnostic CRD, yang secara otomatis mengunggah log ke bucket S3. Anda juga dapat menggunakan CloudWatch Container Insights dan AWS Distro untuk. OpenTelemetry