当前位置：首页 > news >正文

Kubernetes 安全与资源管理：Secrets、资源配额与访问控制实战

news 2025/9/18 5:58:30

Kubernetes 作为企业级容器编排平台，提供了完善的安全和资源管理机制。本文将深入探讨 Secrets 敏感信息管理、资源配额限制以及基于 RBAC 的访问控制，帮助您构建更安全、稳定的 Kubernetes 环境。

一、Secrets：安全地管理敏感信息

Secrets 是 Kubernetes 中用于存储敏感信息的对象，如密码、OAuth 令牌、SSH 密钥等。与 ConfigMaps 不同，Secrets 内容默认以 Base64 编码存储，提供基本的安全保护。

创建 Secret

# 通过命令行创建 Secret
kubectl create secret generic mysql-secret \--from-literal=password=MyS3cr3tP@ssw0rd \--from-literal=username=admin

在 Pod 中使用 Secret

apiVersion: v1
kind: Pod
metadata:name: mysql-pod
spec:containers:- name: mysqlimage: mysql:8.0env:- name: MYSQL_ROOT_PASSWORDvalueFrom:secretKeyRef:name: mysql-secretkey: password- name: MYSQL_USERvalueFrom:secretKeyRef:name: mysql-secretkey: username

最佳实践扩展

加密存储：考虑使用 Kubernetes 的 EncryptionConfiguration 对 Secret 进行静态加密
外部 Secret 管理：对于生产环境，可集成外部 Secret 管理方案如 HashiCorp Vault、AWS Secrets Manager
定期轮换：建立 Secret 定期轮换机制，增强安全性

二、资源配额：控制资源使用

资源配额（Resource Quotas）确保集群资源被公平使用，防止单个命名空间消耗过多资源而影响其他应用。

命名空间资源配额

apiVersion: v1
kind: ResourceQuota
metadata:name: compute-quotanamespace: production
spec:hard:requests.cpu: "2"requests.memory: 4Gilimits.cpu: "4"limits.memory: 8Gipods: "10"services: "5"secrets: "10"configmaps: "10"persistentvolumeclaims: "4"

Pod 资源限制

apiVersion: v1
kind: Pod
metadata:name: limited-pod
spec:containers:- name: appimage: nginxresources:requests:memory: "64Mi"cpu: "250m"limits:memory: "128Mi"cpu: "500m"

资源管理扩展

LimitRange：设置默认资源请求和限制，确保所有 Pod 都有适当的资源约束
监控与告警：结合 Prometheus 和 Grafana 监控资源使用情况，设置适当告警
自动扩缩：使用 HPA（Horizontal Pod Autoscaler）和 VPA（Vertical Pod Autoscaler）自动调整资源

三、访问控制：RBAC 实践

Kubernetes 使用基于角色的访问控制（RBAC）来管理对集群资源的访问权限。

创建 ServiceAccount

apiVersion: v1
kind: ServiceAccount
metadata:name: ci-cd-serviceaccountnamespace: production

定义角色和角色绑定

# 创建角色（限定在特定命名空间）
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:namespace: productionname: deployment-manager
rules:
- apiGroups: ["apps", ""]resources: ["deployments", "pods", "services"]verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]
---
# 将角色绑定到ServiceAccount
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:name: deployer-bindingnamespace: production
subjects:
- kind: ServiceAccountname: ci-cd-serviceaccountnamespace: production
roleRef:kind: Rolename: deployment-managerapiGroup: rbac.authorization.k8s.io

网络策略控制

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:name: backend-policynamespace: production
spec:podSelector:matchLabels:app: backendpolicyTypes:- Ingress- Egressingress:- from:- podSelector:matchLabels:app: frontendports:- protocol: TCPport: 8080egress:- to:- podSelector:matchLabels:app: databaseports:- protocol: TCPport: 5432

访问控制扩展

最小权限原则：只为用户和服务账户授予完成其任务所需的最小权限
定期审计：使用 kubectl auth can-i 命令或 OpenPolicyAgent 定期审计权限
命名空间隔离：使用命名空间隔离不同环境（开发、测试、生产）的资源
Pod安全策略：使用 Pod Security Standards 或 PodSecurityPolicy（已弃用）/Pod Security Admission 控制Pod安全标准