Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Modalità automatica EKS - Sicurezza

La modalità automatica di Amazon EKS introduce funzionalità di sicurezza avanzate estendendo la gestione della sicurezza di AWS oltre il piano di controllo per includere nodi di lavoro e componenti principali del cluster. Questo modello di sicurezza completo aiuta le organizzazioni a mantenere una solida posizione di sicurezza riducendo al contempo il sovraccarico operativo.

Modello di responsabilità condivisa - EKS Auto Mode

I principali miglioramenti della sicurezza in modalità automatica EKS includono:

EKS Auto Mode applica questi controlli di sicurezza per impostazione predefinita, aiutando le organizzazioni a soddisfare i propri requisiti di sicurezza e conformità semplificando al contempo le operazioni del cluster. Questo approccio è in linea con defense-in-depth i principi e fornisce più livelli di controlli di sicurezza a livello di infrastruttura, nodo e carico di lavoro.

Architettura di sicurezza

EKS Auto Mode implementa i controlli di sicurezza su più livelli dell'infrastruttura EKS, dal piano di controllo ai singoli nodi. La comprensione di questa architettura è fondamentale per gestire e proteggere efficacemente i cluster EKS.

Control Plane Security

Il piano di controllo EKS in modalità EKS Auto mantiene gli stessi elevati standard di sicurezza dei cluster EKS tradizionali, aggiungendo al contempo nuove funzionalità di sicurezza:

Integrazione IAM e gestione degli accessi

EKS Auto Mode offre un'integrazione migliorata con AWS Identity and Access Management (IAM) tramite EKS Access Entries e EKS Pod Identity.

Gestione degli accessi ai cluster

EKS Auto Mode introduce miglioramenti alla gestione degli accessi ai cluster tramite l'API Cluster Access Management (CAM):

È possibile creare voci di accesso per gestire l'accesso al cluster:

aws eks create-access-entry \
    --cluster-name ${EKS_CLUSTER_NAME} \
    --principal-arn arn:aws:iam::${ACCOUNT_ID}:role/${IAM_ROLE_NAME} \
    --type STANDARD

EKS Pod Identity

EKS Auto Mode viene fornito con Pod Identity Agent già distribuito, che consente un modo semplificato per concedere le autorizzazioni AWS IAM ai pod:

aws eks create-pod-identity-association \
  --cluster-name ${EKS_CLUSTER_NAME} \
  --role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${IAM_ROLE_NAME} \
  --namespace ${NAMESPACE} \
  --service-account ${SERVICE_ACCOUNT_NAME}

Ruolo IAM del nodo

EKS Auto Mode utilizza una nuova modalità AmazonEKSWorkerNodeMinimalPolicy che fornisce solo le autorizzazioni necessarie per il funzionamento dei nodi EKS Auto Mode. Queste autorizzazioni:

Questo approccio politico minimale aiuta a migliorare il livello di sicurezza limitando le autorizzazioni disponibili per il nodo e i relativi carichi di lavoro.

Sicurezza dei nodi

EKS Auto Mode introduce diversi miglioramenti significativi della sicurezza a livello di nodo:

Sicurezza delle istanze gestite EC2

I nodi EKS Auto Mode utilizzano istanze gestite Amazon EC2 con proprietà di sicurezza avanzate:

Sicurezza del sistema operativo

Il sistema operativo è una variante personalizzata di Bottlerocket, ottimizzata per EKS Auto Mode, che include:

Sicurezza dei componenti del nodo

I componenti del nodo sono configurati secondo le migliori pratiche di sicurezza:

Sicurezza di rete

EKS Auto Mode implementa diverse funzionalità di sicurezza di rete per garantire una comunicazione sicura all'interno del cluster e con risorse esterne:

Politica di rete VPC CNI

EKS Auto Mode sfrutta il supporto nativo della politica di rete Kubernetes del plug-in Amazon VPC CNI:

Per abilitare il supporto delle policy di rete in modalità automatica EKS, è necessario configurare il componente aggiuntivo VPC CNI con un manifesto. configMap Ecco un esempio:

apiVersion: v1
kind: ConfigMap
metadata:
  name: amazon-vpc-cni
  namespace: kube-system
data:
  enable-network-policy: "true"

È inoltre necessario definire la configurazione del supporto delle politiche di rete nella classe Node, come illustrato di seguito:

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: example-node-class
spec:
  networkPolicy: DefaultAllow
  networkPolicyEventLogs: Enabled

Una volta abilitato, puoi creare politiche di rete per controllare il traffico:

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

Gestione ENI migliorata

EKS Auto Mode offre una maggiore sicurezza per la gestione dell'interfaccia di rete elastica (ENI):

Sicurezza dello storage

EKS Auto Mode offre funzionalità di sicurezza avanzate per lo storage temporaneo e persistente:

Archiviazione effimera

Volumi EBS

Integrazione EFS

Monitoraggio e registrazione

EKS Auto Mode offre funzionalità avanzate di monitoraggio e registrazione per aiutarvi a mantenere la visibilità sul livello di sicurezza e sullo stato operativo del cluster.

Registrazione del piano di controllo

EKS Auto Mode mantiene le stesse funzionalità di registrazione del piano di controllo di EKS standard, tuttavia abilita tutti i log per impostazione predefinita per un monitoraggio avanzato.

Registrazione a livello di nodo

La modalità automatica EKS migliora la registrazione a livello di nodo:

GuardDuty Integrazione con Amazon

I cluster EKS Auto Mode si integrano perfettamente con Amazon GuardDuty per un rilevamento avanzato delle minacce. Le caratteristiche includono:

Per abilitare la protezione EKS Auto Mode su Amazon GuardDuty for Kubernetes Audit Logs, puoi eseguire il seguente comando:

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --data-sources '{"Kubernetes":{"AuditLogs":{"Enable":true}}}'

GuardDuty Integrazione Amazon per la sicurezza in fase di esecuzione

Amazon GuardDuty fornisce il monitoraggio essenziale della sicurezza in fase di esecuzione per i cluster EKS Auto Mode, offrendo funzionalità complete di rilevamento delle minacce e monitoraggio della sicurezza. Questa integrazione è particolarmente importante in quanto aiuta a identificare potenziali minacce alla sicurezza e attività dannose in tempo reale.

GuardDuty Caratteristiche principali di EKS Auto Mode

Per abilitare la protezione EKS Auto Mode su Amazon GuardDuty for Kubernetes Audit Logs and Runtime Monitoring, puoi eseguire il seguente comando:

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --data-sources '{
        "Kubernetes": {
            "AuditLogs": {"Enable": true},
            "RuntimeMonitoring": {"Enable": true}
        }
    }'

GuardDuty Integrazione dei risultati

GuardDuty i risultati possono essere integrati con altri servizi AWS per una risposta automatica:

{
  "source": ["aws.guardduty"],
  "detail-type": ["GuardDuty Finding"],
  "detail": {
    "type": ["Runtime:Container/*", "Runtime:Kubernetes/*"],
    "severity": [4, 5, 6, 7, 8]
  }
}

# Enable Security Hub integration
aws securityhub enable-security-hub \
    --enable-default-standards \
    --tags '{"Environment":"Production"}' \
    --region us-west-2

Migliori pratiche per l' GuardDuty utilizzo della modalità automatica EKS

Domande frequenti (FAQ)

D: In che modo EKS Auto Mode differisce dallo standard EKS in termini di sicurezza? R: La modalità automatica EKS offre una maggiore sicurezza tramite istanze gestite EC2, patch automatizzate, rotazione obbligatoria dei nodi e controlli di sicurezza integrati. Riduce il sovraccarico operativo mantenendo al contempo una solida posizione di sicurezza grazie alla gestione da parte di AWS di una maggior parte degli aspetti di sicurezza.

D: Posso ancora utilizzare gli strumenti e le politiche di sicurezza esistenti con EKS Auto Mode? R: Sì, EKS Auto Mode è compatibile con la maggior parte degli strumenti e delle politiche di sicurezza esistenti. Tuttavia, alcuni strumenti di sicurezza a livello di nodo potrebbero richiedere un adattamento a causa della natura gestita dei nodi EKS Auto Mode.

D: Come posso implementare agenti di sicurezza e strumenti di monitoraggio in EKS Auto Mode? R: In modalità automatica EKS, gli agenti di sicurezza e gli strumenti di monitoraggio devono essere distribuiti come carichi di lavoro Kubernetes (in genere DaemonSets, implementa un'istanza del Pod su ogni nodo per impostazione predefinita) anziché installati direttamente sul sistema operativo del nodo. Questo approccio è in linea con il modello di infrastruttura immutabile di EKS Auto Mode. Esempio:

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: security-agent
  namespace: security
spec:
  selector:
    matchLabels:
      app: security-agent
  template:
    metadata:
      labels:
        app: security-agent
    spec:
      containers:
      - name: security-agent
        image: security-vendor/agent:latest
        securityContext:
          privileged: false
          # Use specific capabilities instead of privileged mode
          capabilities:
            add: ["NET_ADMIN", "SYS_ADMIN"]

D: Le soluzioni di sicurezza di terze parti sono compatibili con EKS Auto Mode? R: Molte delle più diffuse soluzioni di sicurezza di terze parti sono state aggiornate per supportare EKS Auto Mode, tuttavia è sempre consigliabile verificare la versione specifica e i requisiti di implementazione con il proprio fornitore di sicurezza, poiché il supporto per EKS Auto Mode potrebbe richiedere versioni aggiornate o configurazioni di implementazione specifiche.

D: Quali sono le limitazioni per gli agenti di sicurezza in EKS Auto Mode? R: Le limitazioni principali includono:

D: Posso usare la modalità personalizzata AMIs con EKS Auto Mode? R: Al momento, la modalità automatica EKS non supporta la personalizzazione AMIs. Ciò è dovuto alla progettazione in quanto AWS gestisce la sicurezza, l'applicazione di patch e la manutenzione dei nodi come parte del modello di responsabilità condivisa. I nodi EKS Auto Mode utilizzano una variante specializzata di Bottlerocket ottimizzata e gestita da AWS.

D: Con che frequenza i nodi vengono ruotati automaticamente in EKS Auto Mode? R: I nodi in modalità automatica EKS hanno una durata massima di 21 giorni. Verranno sostituiti automaticamente prima di questo limite, garantendo aggiornamenti di sicurezza regolari e l'applicazione delle patch.

D: Posso accedere tramite SSH ai nodi EKS Auto Mode per la risoluzione dei problemi? R: No, l'accesso SSH diretto non è disponibile in modalità automatica EKS. È invece possibile utilizzare la NodeDiagnostic Custom Resource Definition (CRD) per raccogliere i registri di sistema e le informazioni di debug.

D: Il supporto per le policy di rete è abilitato per impostazione predefinita in EKS Auto Mode? R: Per ora, il supporto delle politiche di rete deve essere abilitato in modo esplicito tramite la configurazione del componente aggiuntivo VPC CNI. Una volta abilitato, puoi utilizzare le politiche di rete Kubernetes standard.

D: Devo usare IRSA o Pod Identity con EKS Auto Mode? R: Sebbene entrambi siano supportati, Pod Identity è l'approccio consigliato in EKS Auto Mode poiché include già il componente aggiuntivo dell'agente Pod Identity Security e offre funzionalità di sicurezza avanzate e una gestione semplificata.

D: Posso ancora usare aws-auth ConfigMap in modalità automatica EKS? R: aws-auth ConfigMap È una funzionalità obsoleta. Si consiglia di utilizzare l'approccio predefinito dell'autenticazione basata su API per una maggiore sicurezza e una gestione semplificata degli accessi.

D: Come posso monitorare gli eventi di sicurezza in EKS Auto Mode? R: EKS Auto Mode si integra con diverse soluzioni di monitoraggio GuardDuty, tra cui CloudWatch, e CloudTrail. GuardDuty fornisce un monitoraggio avanzato della sicurezza in fase di esecuzione, specifico per i carichi di lavoro EKS.

D: Come si raccolgono i log dai nodi EKS Auto Mode? R: Usa il NodeDiagnostic CRD, che carica automaticamente i log in un bucket S3. Puoi anche usare CloudWatch Container Insights e AWS Distro per OpenTelemetry.