本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

EKS 自动模式-安全

Amazon EKS 自动模式通过将 AWS 的安全管理扩展到控制平面之外，将工作节点和核心集群组件包括在内，从而引入了增强的安全功能。这种全面的安全模型可帮助组织保持强大的安全态势，同时减少运营开销。

责任共担模型-EKS 自动模式

EKS 自动模式中的主要安全增强功能包括：

默认情况下，EKS Auto Mode 会强制执行这些安全控制，帮助组织满足其安全和合规性要求，同时简化集群操作。这种方法符合 defense-in-depth原则，在基础架构、节点和工作负载级别提供多层安全控制。

安全架构

EKS Auto Mode 在 EKS 基础设施的多个层面上实施安全控制，从控制平面到单个节点。了解这种架构对于有效管理和保护 EKS 集群至关重要。

控制平面安全

EKS 自动模式下的 EKS 控制平面保持与传统 EKS 集群相同的高安全标准，同时增加了新的安全功能：

IAM 集成和访问管理

EKS 自动模式通过 EKS 访问条目和 EKS Pod 身份增强了与 AWS 身份和访问管理 (IAM) 的集成。

集群访问管理

EKS 自动模式通过集群访问管理 (CAM) API 引入了对集群访问管理的改进：

可以创建访问条目来管理集群访问权限：

aws eks create-access-entry \
    --cluster-name ${EKS_CLUSTER_NAME} \
    --principal-arn arn:aws:iam::${ACCOUNT_ID}:role/${IAM_ROLE_NAME} \
    --type STANDARD

EKS 容器组身份

EKS 自动模式附带已部署的 Pod 身份代理，从而可以简化向 Pod 授予 AWS IAM 权限的方法：

aws eks create-pod-identity-association \
  --cluster-name ${EKS_CLUSTER_NAME} \
  --role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${IAM_ROLE_NAME} \
  --namespace ${NAMESPACE} \
  --service-account ${SERVICE_ACCOUNT_NAME}

节点 IAM 角色

EKS 自动模式使用新的模式AmazonEKSWorkerNodeMinimalPolicy，该模式仅提供 EKS 自动模式节点运行所需的权限。这些权限：

这种最低限度的策略方法通过限制节点及其工作负载的可用权限来帮助改善安全状况。

节点安全

EKS 自动模式在节点级别引入了几项重要的安全改进：

EC2 托管实例安全

EKS 自动模式节点使用具有增强安全属性的 Amazon EC2 托管实例：

操作系统安全性

该操作系统是 Bottlerock et 的自定义变体，针对 EKS 自动模式进行了优化，其中包括：

节点组件安全

节点组件配置了安全最佳实践：

网络安全性

EKS Auto Mode 实现了多项网络安全功能，以确保集群内以及与外部资源的安全通信：

VPC CNI 网络策略

EKS 自动模式利用亚马逊 VPC CNI 插件的原生 Kubernetes 网络策略支持：

要在 EKS 自动模式下启用网络策略支持，您需要使用configMap清单配置 VPC CNI 插件。示例如下：

apiVersion: v1
kind: ConfigMap
metadata:
  name: amazon-vpc-cni
  namespace: kube-system
data:
  enable-network-policy: "true"

还需要定义在 Node Class 中配置的网络策略支持，如下所示：

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: example-node-class
spec:
  networkPolicy: DefaultAllow
  networkPolicyEventLogs: Enabled

启用后，您可以创建网络策略来控制流量：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

增强的 ENI 管理

EKS 自动模式为弹性网络接口 (ENI) 管理提供了更高的安全性：

存储安全

EKS 自动模式为临时存储和永久存储提供了增强的安全功能：

临时存储

EBS 卷

EFS 集成

监控和日志记录

EKS Auto Mode 提供了增强的监控和日志记录功能，可帮助您保持对集群安全状况和运行状况的可见性。

控制层面日志记录

EKS Auto Mode 保持与标准 EKS 相同的控制平面日志功能，但是它默认启用所有日志以增强监控。

节点级日志

EKS 自动模式增强了节点级日志记录：

亚马逊 GuardDuty 集成

EKS 自动模式集群与 Amazon 无缝集成 GuardDuty ，以增强威胁检测。功能包括：

要在 Amazon GuardDuty 上为 Kubernetes 审计日志启用 EKS 自动模式保护，你可以运行以下命令：

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --data-sources '{"Kubernetes":{"AuditLogs":{"Enable":true}}}'

运行时安全的 Amazon GuardDuty 集成

Amazon 为 EKS 自动模式集群 GuardDuty 提供基本的运行时安全监控，提供全面的威胁检测和安全监控功能。这种集成尤其重要，因为它有助于实时识别潜在的安全威胁和恶意活动。

EKS 自动模式的主要 GuardDuty 功能

要在 Amazon GuardDuty 上为 Kubernetes 审计日志和运行时监控启用 EKS 自动模式保护，您可以运行以下命令：

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --data-sources '{
        "Kubernetes": {
            "AuditLogs": {"Enable": true},
            "RuntimeMonitoring": {"Enable": true}
        }
    }'

GuardDuty 调查结果整合

GuardDuty 调查结果可以与其他 AWS 服务集成以实现自动响应：

{
  "source": ["aws.guardduty"],
  "detail-type": ["GuardDuty Finding"],
  "detail": {
    "type": ["Runtime:Container/*", "Runtime:Kubernetes/*"],
    "severity": [4, 5, 6, 7, 8]
  }
}

# Enable Security Hub integration
aws securityhub enable-security-hub \
    --enable-default-standards \
    --tags '{"Environment":"Production"}' \
    --region us-west-2

GuardDuty 使用 EKS 自动模式的最佳实践

常见问题 (FAQ)

问：EKS 自动模式在安全性方面与标准 EKS 有何不同？ 答：EKS 自动模式通过 EC2 托管实例、自动修补、强制节点轮换和内置安全控制来增强安全性。通过让 AWS 管理更多安全方面，它减少了运营开销，同时保持了强大的安全态势。

问：我还能在 EKS 自动模式下使用现有的安全工具和策略吗？ 答：是的，EKS 自动模式与大多数现有的安全工具和策略兼容。但是，由于 EKS Auto Mode 节点的托管性质，某些节点级安全工具可能需要调整。

问：如何在 EKS 自动模式下部署安全代理和监控工具？ 答：在 EKS 自动模式下，安全代理和监控工具应作为 Kubernetes 工作负载部署（通常 DaemonSets默认在每个节点上部署一个 Pod 实例），而不是直接安装在节点操作系统上。这种方法与 EKS 自动模式的不可变基础架构模型一致。示例：

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: security-agent
  namespace: security
spec:
  selector:
    matchLabels:
      app: security-agent
  template:
    metadata:
      labels:
        app: security-agent
    spec:
      containers:
      - name: security-agent
        image: security-vendor/agent:latest
        securityContext:
          privileged: false
          # Use specific capabilities instead of privileged mode
          capabilities:
            add: ["NET_ADMIN", "SYS_ADMIN"]

问：第三方安全解决方案是否与 EKS 自动模式兼容？ 答：许多流行的第三方安全解决方案已更新为支持 EKS Auto Mode，但始终建议您向您的安全供应商验证具体版本和部署要求，因为支持 EKS Auto Mode 可能需要更新版本或特定的部署配置。

问：在 EKS 自动模式下，安全代理有哪些限制？ 答：主要限制包括：

问：我可以在 EKS 自动模式下 AMIs 使用自定义模式吗？ 答：目前，EKS 自动模式不支持自定义 AMIs。这是设计使然，因为 AWS 将节点的安全、修补和维护作为责任共担模式的一部分进行管理。EKS 自动模式节点使用 Bottlerocket 的特殊变体，该变体由 AWS 优化和维护。

问：在 EKS 自动模式下，节点多久自动旋转一次？ 答：在 EKS 自动模式下，节点的最大生命周期为 21 天。在此限制之前，它们将被自动更换，从而确保定期进行安全更新和补丁应用程序。

问：我能否通过 SSH 连接到 EKS 自动模式节点进行故障排除？ 答：不可以，在 EKS 自动模式下不提供直接 SSH 访问。相反，您可以使用 NodeDiagnostic 自定义资源定义 (CRD) 来收集系统日志和调试信息。

问：在 EKS 自动模式下是否默认启用网络策略支持？ 答：目前，需要通过 VPC CNI 插件配置明确启用网络策略支持。启用后，您可以使用标准的 Kubernetes 网络策略。

问：我应该在 EKS 自动模式下使用 IRSA 还是 Pod Identity？ 答：虽然两者都支持，但在 EKS 自动模式中推荐使用 Pod Identity 方法，因为它已经包含 Pod Identity Security 代理插件，并提供了增强的安全功能和简化的管理。

问：我还能在 EKS 自动模式下使用 aws-auth ConfigMap 吗？ 答：aws-auth ConfigMap 这是一项已弃用的功能。建议使用基于 API 的默认身份验证方法，以增强安全性并简化访问管理。

问：如何在 EKS 自动模式下监控安全事件？ 答：EKS 自动模式与多种监控解决方案集成 GuardDuty，包括 CloudWatch、和 CloudTrail。 GuardDuty 专门针对 EKS 工作负载提供增强的运行时安全监控。

问：如何从 EKS 自动模式节点收集日志？ 答：使用 NodeDiagnostic CRD，它会自动将日志上传到 S3 存储桶。您也可以将 Contain CloudWatch er Insights 和 AWS Distro 用于。 OpenTelemetry