本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

EKS Auto 模式 - 安全性

Amazon EKS Auto Mode 透過將 AWS 的安全管理延伸到控制平面之外，以包含工作者節點和核心叢集元件，來引入增強的安全功能。此全方位的安全模型可協助組織維持強大的安全狀態，同時降低營運開銷。

共同責任模型 - EKS Auto 模式

EKS Auto 模式的主要安全性增強功能包括：

EKS Auto Mode 預設會強制執行這些安全控制，協助組織滿足其安全和合規要求，同時簡化叢集操作。此方法符合defense-in-depth原則，在基礎設施、節點和工作負載層級提供多層安全控制。

安全架構

EKS Auto Mode 會跨 EKS 基礎設施的多層實作安全控制，從控制平面到個別節點。了解此架構對於有效管理和保護 EKS 叢集至關重要。

控制平面安全性

EKS Auto Mode 中的 EKS 控制平面維持與傳統 EKS 叢集相同的高安全標準，同時新增新的安全功能：

IAM 整合與存取管理

EKS Auto Mode 透過 EKS 存取項目和 EKS Pod 身分，提供與 AWS Identity and Access Management (IAM) 的增強整合。

叢集存取管理

EKS Auto Mode 透過叢集存取管理 (CAM) API 推出叢集存取管理的改善：

您可以建立存取項目來管理叢集存取：

aws eks create-access-entry \
    --cluster-name ${EKS_CLUSTER_NAME} \
    --principal-arn arn:aws:iam::${ACCOUNT_ID}:role/${IAM_ROLE_NAME} \
    --type STANDARD

EKS Pod 身分識別

EKS Auto Mode 隨附已部署的 Pod Identity Agent，可讓您以簡化的方式將 AWS IAM 許可授予 Pod：

aws eks create-pod-identity-association \
  --cluster-name ${EKS_CLUSTER_NAME} \
  --role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${IAM_ROLE_NAME} \
  --namespace ${NAMESPACE} \
  --service-account ${SERVICE_ACCOUNT_NAME}

節點 IAM 角色

EKS Auto Mode 使用新的 AmazonEKSWorkerNodeMinimalPolicy ，只提供 EKS Auto Mode 節點操作所需的許可。這些許可：

這種最少的政策方法透過限制節點及其工作負載可用的許可，協助改善安全狀態。

節點安全性

EKS Auto Mode 在節點層級引入了幾項重大的安全改進：

EC2 受管執行個體安全性

EKS Auto Mode 節點使用具有增強型安全屬性的 Amazon EC2 受管執行個體：

作業系統安全

作業系統是 Bottlerocket 的自訂變體，針對 EKS Auto Mode 進行最佳化，其中包括：

節點元件安全性

節點元件設定了安全最佳實務：

網路安全

EKS Auto Mode 實作數個網路安全功能，以確保叢集內和外部資源的安全通訊：

VPC CNI 網路政策

EKS Auto Mode 利用 Amazon VPC CNI 外掛程式的原生 Kubernetes 網路政策支援：

若要在 EKS Auto Mode 中啟用網路政策支援，您需要使用configMap資訊清單設定 VPC CNI 附加元件。請見此處範例：

apiVersion: v1
kind: ConfigMap
metadata:
  name: amazon-vpc-cni
  namespace: kube-system
data:
  enable-network-policy: "true"

定義網路政策支援也需要在節點類別中設定，如下所示：

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: example-node-class
spec:
  networkPolicy: DefaultAllow
  networkPolicyEventLogs: Enabled

啟用後，您可以建立網路政策來控制流量：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

增強型 ENI 管理

EKS Auto Mode 可改善彈性網路界面 (ENI) 管理的安全性：

儲存體安全性

EKS Auto Mode 為暫時性和持久性儲存提供增強的安全功能：

暫時性儲存

EBS 磁碟區

EFS 整合

監控和記錄

EKS Auto Mode 提供增強的監控和記錄功能，可協助您維持叢集安全狀態和操作狀態的可見性。

控制平面記錄

EKS Auto Mode 會維護與標準 EKS 相同的控制平面記錄功能，但預設會啟用所有日誌以進行增強型監控。

節點層級記錄

EKS Auto Mode 可增強節點層級記錄：

Amazon GuardDuty 整合

EKS Auto Mode 叢集與 Amazon GuardDuty 無縫整合，以增強威脅偵測。功能包括：

若要在 Amazon GuardDuty for Kubernetes 稽核日誌上啟用 EKS Auto Mode 保護，您可以執行下列命令：

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --data-sources '{"Kubernetes":{"AuditLogs":{"Enable":true}}}'

Amazon GuardDuty 整合以實現執行期安全性

Amazon GuardDuty 為 EKS Auto Mode 叢集提供基本的執行期安全監控，提供全面的威脅偵測和安全監控功能。此整合特別重要，因為它有助於即時識別潛在的安全威脅和惡意活動。

EKS Auto Mode 的主要 GuardDuty 功能

若要在 Amazon GuardDuty for Kubernetes 稽核日誌和執行期監控上啟用 EKS Auto Mode 保護，您可以執行下列命令：

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --data-sources '{
        "Kubernetes": {
            "AuditLogs": {"Enable": true},
            "RuntimeMonitoring": {"Enable": true}
        }
    }'

GuardDuty 調查結果整合

GuardDuty 調查結果可以與其他 AWS 服務整合，以進行自動化回應：

{
  "source": ["aws.guardduty"],
  "detail-type": ["GuardDuty Finding"],
  "detail": {
    "type": ["Runtime:Container/*", "Runtime:Kubernetes/*"],
    "severity": [4, 5, 6, 7, 8]
  }
}

# Enable Security Hub integration
aws securityhub enable-security-hub \
    --enable-default-standards \
    --tags '{"Environment":"Production"}' \
    --region us-west-2

使用 EKS Auto 模式的 GuardDuty 最佳實務

常見問答集 (FAQ)

問：EKS Auto Mode 在安全性方面與標準 EKS 有何不同？ 答：EKS Auto Mode 透過 EC2 受管執行個體、自動修補、強制節點輪換和內建安全控制提供增強的安全性。它透過讓 AWS 管理更多安全層面來減少營運開銷，同時保持強大的安全狀態。

問：我是否仍然可以使用現有的安全工具和政策搭配 EKS Auto 模式？ 答：是，EKS Auto Mode 與大多數現有的安全工具和政策相容。不過，由於 EKS Auto Mode 節點的受管性質，某些節點層級的安全工具可能需要調整。

問：如何在 EKS Auto 模式下部署安全代理程式和監控工具？ 答：在 EKS Auto 模式下，安全代理程式和監控工具應該部署為 Kubernetes 工作負載 （通常是 DaemonSets，預設在每個節點上部署一個 Pod 執行個體），而不是直接安裝在節點作業系統上。此方法符合 EKS Auto Mode 的不可變基礎設施模型。範例：

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: security-agent
  namespace: security
spec:
  selector:
    matchLabels:
      app: security-agent
  template:
    metadata:
      labels:
        app: security-agent
    spec:
      containers:
      - name: security-agent
        image: security-vendor/agent:latest
        securityContext:
          privileged: false
          # Use specific capabilities instead of privileged mode
          capabilities:
            add: ["NET_ADMIN", "SYS_ADMIN"]

問：第三方安全解決方案是否與 EKS Auto Mode 相容？ 答：許多熱門的第三方安全解決方案已更新為支援 EKS Auto Mode，但一律建議您與安全廠商驗證特定版本和部署需求，因為 EKS Auto Mode 的支援可能需要更新版本或特定部署組態。

問：EKS Auto Mode 中的安全代理程式有哪些限制？ 答：金鑰限制包括：

問：我可以搭配 EKS Auto Mode 使用自訂 AMIs 嗎？ 答：EKS Auto Mode 目前不支援自訂 AMIs。這是根據設計，因為 AWS 會在共同責任模型中管理節點的安全性、修補和維護。EKS Auto Mode 節點使用由 AWS 最佳化和維護的特殊 Bottlerocket 變體。

問：以 EKS Auto 模式自動輪換節點的頻率為何？ 答：EKS Auto Mode 中的節點的生命週期上限為 21 天。它們將在此限制之前自動取代，以確保定期安全性更新和修補程式應用程式。

問：SSH 是否可以進入 EKS Auto Mode 節點進行故障診斷？ 答：否，EKS Auto 模式不提供直接 SSH 存取。反之，您可以使用 NodeDiagnostic 自訂資源定義 (CRD) 來收集系統日誌和偵錯資訊。

問：根據預設，網路政策支援是否在 EKS Auto Mode 中啟用？ 答：目前，網路政策支援需要透過 VPC CNI 附加元件組態明確啟用。啟用後，您可以使用標準 Kubernetes 網路政策。

問：我應該將 IRSA 或 Pod Identity 與 EKS Auto Mode 搭配使用嗎？ 答：雖然兩者都支援，但 Pod Identity 是 EKS Auto 模式的建議方法，因為它已包含 Pod Identity Security 代理程式附加元件，並提供增強的安全功能和簡化的管理。

問：我是否仍然可以在 EKS Auto 模式中使用 aws-auth ConfigMap？ 答：ConfigMap aws-auth 是已棄用的功能。建議使用以 API 為基礎的預設身分驗證方法，以增強安全性並簡化存取管理。

問：如何在 EKS Auto 模式下監控安全事件？ 答：EKS Auto Mode 與多個監控解決方案整合，包括 GuardDuty、CloudWatch 和 CloudTrail。GuardDuty 特別針對 EKS 工作負載提供增強的執行期安全監控。

問：如何從 EKS Auto Mode 節點收集日誌？ 答：使用 NodeDiagnostic CRD，它會自動將日誌上傳到 S3 儲存貯體。您也可以使用 CloudWatch Container Insights 和 AWS Distro for OpenTelemetry。