Bantu meningkatkan halaman ini
Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Untuk berkontribusi pada panduan pengguna ini, pilih GitHub tautan Edit halaman ini di yang terletak di panel kanan setiap halaman.
Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Pertimbangan keamanan untuk Mode Otomatis Amazon EKS
Topik ini menjelaskan arsitektur keamanan, kontrol, dan praktik terbaik untuk Mode Otomatis Amazon EKS. Ketika organisasi menerapkan aplikasi kontainer dalam skala besar, mempertahankan postur keamanan yang kuat menjadi semakin kompleks. Mode Otomatis EKS menerapkan kontrol keamanan otomatis dan terintegrasi dengan layanan AWS keamanan untuk membantu Anda melindungi infrastruktur cluster, beban kerja, dan data Anda. Melalui fitur keamanan bawaan seperti manajemen siklus hidup simpul yang dipaksakan dan penerapan patch otomatis, Mode Otomatis EKS membantu Anda mempertahankan praktik terbaik keamanan sekaligus mengurangi biaya operasional.
Sebelum melanjutkan dengan topik ini, pastikan Anda terbiasa dengan konsep Mode Otomatis EKS dasar dan telah meninjau prasyarat untuk mengaktifkan Mode Otomatis EKS pada cluster Anda. Untuk informasi umum tentang keamanan Amazon EKS, lihatKeamanan di Amazon EKS.
Mode Otomatis Amazon EKS dibangun di atas fondasi keamanan Amazon EKS yang ada sambil memperkenalkan kontrol keamanan otomatis tambahan untuk instans yang dikelola EC2.
Keamanan dan otentikasi API
Mode Otomatis Amazon EKS menggunakan mekanisme keamanan AWS platform untuk mengamankan dan mengotentikasi panggilan ke Amazon EKS API.
-
Akses ke API Kubernetes diamankan melalui entri akses EKS, yang terintegrasi dengan AWS identitas IAM.
-
Untuk informasi selengkapnya, lihat Berikan akses kepada pengguna IAM ke Kubernetes dengan entri akses EKS.
-
-
Pelanggan dapat menerapkan kontrol akses halus ke titik akhir API Kubernetes melalui konfigurasi entri akses EKS.
Keamanan jaringan
Mode Otomatis Amazon EKS mendukung beberapa lapisan keamanan jaringan:
-
Integrasi VPC
-
Beroperasi dalam Amazon Virtual Private Cloud (VPC) Anda
-
Mendukung konfigurasi VPC kustom dan tata letak subnet
-
Memungkinkan jaringan pribadi antara komponen cluster
-
Untuk informasi selengkapnya, lihat Mengelola tanggung jawab keamanan untuk Amazon Virtual Private Cloud
-
-
Kebijakan Jaringan
-
Dukungan asli untuk Kebijakan Jaringan Kubernetes
-
Kemampuan untuk menentukan aturan lalu lintas jaringan granular
-
Untuk informasi selengkapnya, lihat Batasi lalu lintas Pod dengan kebijakan jaringan Kubernetes
-
Keamanan instans terkelola EC2
Mode Otomatis Amazon EKS mengoperasikan instans terkelola EC2 dengan kontrol keamanan berikut:
Keamanan EC2
-
Instans terkelola EC2 mempertahankan fitur keamanan Amazon EC2.
-
Untuk informasi selengkapnya tentang instans terkelola EC2, lihat Keamanan di Amazon EC 2.
Manajemen siklus hidup instans
Instans terkelola EC2 yang dioperasikan oleh Mode Otomatis EKS memiliki masa pakai maksimum 21 hari. Mode Otomatis Amazon EKS secara otomatis menghentikan instans yang melebihi masa pakai ini. Batas siklus hidup ini membantu mencegah penyimpangan konfigurasi dan mempertahankan postur keamanan.
Perlindungan data
-
Penyimpanan Instans Amazon EC2 dienkripsi, ini adalah penyimpanan yang dilampirkan langsung ke instans. Untuk informasi selengkapnya, lihat Perlindungan data di Amazon EC2.
-
Mode Otomatis EKS mengelola volume yang dilampirkan ke instans EC2 pada saat pembuatan, termasuk volume root dan data. Mode Otomatis EKS tidak sepenuhnya mengelola volume EBS yang dibuat menggunakan fitur penyimpanan persisten Kubernetes.
Manajemen patch
-
Mode Otomatis Amazon EKS secara otomatis menerapkan patch ke instans terkelola.
-
Patch meliputi:
-
Pembaruan sistem operasi
-
Patch keamanan
-
Komponen Mode Otomatis Amazon EKS
-
catatan
Pelanggan tetap bertanggung jawab untuk mengamankan dan memperbarui beban kerja yang berjalan pada instans ini.
Kontrol akses
-
Akses instans langsung dibatasi:
-
Akses SSH tidak tersedia.
-
AWS Akses Manajer Session Manager (SSM) tidak tersedia.
-
-
Operasi manajemen dilakukan melalui API Amazon EKS dan API Kubernetes.
Manajemen sumber daya otomatis
Mode Otomatis Amazon EKS tidak sepenuhnya mengelola Volume Amazon Elastic Block Store (Amazon EBS) yang dibuat menggunakan fitur penyimpanan persisten Kubernetes. EKS Auto Mode juga tidak mengelola Elastic Load Balancers (ELB). Mode Otomatis Amazon EKS mengotomatiskan tugas rutin untuk sumber daya ini.
Keamanan penyimpanan
-
AWS menyarankan agar Anda mengaktifkan enkripsi untuk Volume EBS yang disediakan oleh fitur penyimpanan persisten Kubernetes. Untuk informasi selengkapnya, lihat Buat kelas penyimpanan.
-
Enkripsi saat diam menggunakan AWS KMS
-
Anda dapat mengonfigurasi AWS akun Anda untuk menerapkan enkripsi volume EBS baru dan salinan snapshot yang Anda buat. Untuk informasi selengkapnya, lihat Mengaktifkan enkripsi Amazon EBS secara default di Panduan Pengguna Amazon EBS.
-
Untuk informasi selengkapnya, lihat Keamanan di Amazon EBS.
Keamanan penyeimbang beban
-
Konfigurasi otomatis Penyeimbang Beban Elastis
-
SSL/TLS manajemen sertifikat melalui integrasi Manajer AWS Sertifikat
-
Otomatisasi grup keamanan untuk kontrol akses penyeimbang beban
-
Untuk informasi selengkapnya, lihat Keamanan dalam Penyeimbangan Beban Elastis.
Praktik terbaik keamanan
Bagian berikut menjelaskan praktik terbaik keamanan untuk Mode Otomatis Amazon EKS.
-
Tinjau kebijakan AWS IAM dan entri akses EKS secara teratur.
-
Saat Anda menggunakan pemilih tag untuk subnet dan grup keamanan di a
NodeClass, Mode Otomatis EKS secara otomatis memilih subnet atau grup keamanan apa pun yang memiliki tag yang cocok, termasuk sumber daya yang diberi tag nanti. Jika Anda perlu mengontrol subnet dan grup keamanan mana yang dapat digunakan Mode Otomatis, jangan mengandalkan pemilihan tag saja. Sebaliknya, lingkup peran IAM cluster Mode Otomatis Amazon EKS sehinggaec2:CreateNetworkInterfaceterbatas pada subnet dan grup keamanan tertentu. Alih-alih melampirkan kebijakan terkelAmazonEKSNetworkingPolicyola apa adanya, gunakan kebijakan yang dikelola pelanggan yang membatasiec2:CreateNetworkInterfacesumber daya subnet dan grup keamanan yang dituju, atau lampirkan kebijakan tambahan yang menolak tindakan pada semua sumber daya lainnya. Untuk informasi selengkapnya, lihat Elemen kebijakan JSON IAM: NotResource di Panduan Pengguna IAM. -
Menerapkan pola akses hak istimewa terkecil untuk beban kerja.
-
Pantau aktivitas cluster melalui AWS CloudTrail dan Amazon CloudWatch. Untuk informasi selengkapnya, lihat Log panggilan API sebagai AWS CloudTrail peristiwa dan Pantau data klaster dengan Amazon CloudWatch.
-
Gunakan Hub AWS Keamanan untuk penilaian postur keamanan.
-
Terapkan standar keamanan pod yang sesuai untuk beban kerja Anda.
