Configurar la admisión de seguridad de Pod en Kubernetes

La seguridad es una preocupación importante al trabajar con Kubernetes. Para garantizar que los pods se estén ejecutando en un entorno seguro, es necesario aplicar ciertas directivas en su creación o edición. Pod Security Admission (PSA) es una herramienta que permite agregar políticas de seguridad adicionales a Kubernetes para exponer vulnerabilidades conocidas e impedir que se creen pods que no cumplan con los requisitos de seguridad necesarios.

¿Qué es Pod Security Admission y para qué se utiliza?

Pod Security Admission es un método para definir políticas reguladoras de seguridad adicionales en Kubernetes. PSAs operan en la fase de admisión de Kubernetes, es decir, antes de que los pods sean creados o actualizados. La política PSA le da al administrador una serie de herramientas para cambiar los permisos sobre los pods antes de que se ejecuten. Los pods que no cumplen con los requisitos de seguridad establecidos, se bloquean antes de que se produzcan problemas.

Cómo configurar PSA en Kubernetes

Para configurar PSA en Kubernetes, siga los siguientes pasos:

1. Cree un archivo de política llamado "psa-podpolicy.yaml".
2. Dentro de 'psa-podpolicy.yaml', defina la política de forma que cumpla con las necesidades del clúster.
3. Asegúrese de que el permiso 'PodSecurityPolicy' está habilitado en su clúster. Si no, habilítelo.
4. Editor el archivo "kube-apiserver.yaml" y cambie la línea "--admission-control" para incluir "PodSecurityPolicy."
5. Reinicie el servidor API de Kubernetes.
6. Cargue la política de seguridad recién creada en Kubernetes a través del comando kubectl apply -f psa-podpolicy.yaml.
7. Verifique que la política se haya cargado correctamente con el comando kubectl get podsecuritypolicy.
8. Cree un pod y ejecute comprobaciones de seguridad para asegurarse de que se cumplan los requisitos de seguridad establecidos.

Ejemplo de uso de Pod Security Admission en Kubernetes

Para crear una política de seguridad básica en Kubernetes, cree un archivo denominado 'psa-podpolicy.yaml'. Asegúrese de que el permiso 'PodSecurityPolicy' esté habilitado en su clúster. Si no, habilítelo. A continuación, cargue la política de seguridad recién creada en Kubernetes ejecutando el comando 'kubectl apply -f psa-podpolicy.yaml'.

```
apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
name: restricted
spec:
privileged: false
seLinux:
rule: RunAsAny
runAsUser:
rule: MustRunAsNonRoot
supplementalGroups:
rule: RunAsAny
fsGroup:
rule: RunAsAny
volumes:
- "configMap"
- "emptyDir"
- "projected"
- "secret"
- "downwardAPI"
```

Esta política permite que los contenedores no tengan privilegios, que las imágenes no se ejecuten como root, que los contenedores no monten volúmenes host y que solo se permitan volúmenes específicos.

Conclusión

Pod Security Admission es una herramienta valiosa al trabajar con Kubernetes debido a la importancia de la seguridad en la ejecución de contenedores. Si bien la implementación de PSA puede ser un proceso tedioso, los beneficios son evidentes. Al crear políticas de PSA adecuadas, los administradores pueden aumentar significativamente la seguridad de sus clústeres.

Preguntas frecuentes

¿Qué es Pod Security Policy?

Pod Security Policy (PSP) es un objeto de Kubernetes utilizado para especificar un conjunto de requisitos que un pod debe cumplir para poder ejecutarse.

¿Por qué necesito usar PSA?

PSA se utiliza para agregregar políticas de seguridad adicionales a Kubernetes. Esto ayuda a evitar la creación de pods que no cumplan con los requisitos de seguridad necesarios.

¿Cómo puedo saber si PSA está funcionando correctamente?

Puede verificar si PSA está funcionando correctamente ejecutando el comando 'kubectl get podsecuritypolicy'. Este comando listar las políticas de seguridad aplicadas en el clúster.

¿Cuáles son los beneficios de usar PSA?

Los beneficios de utilizar PSA son una mayor seguridad en la ejecución de pods de Kubernetes y la prevención de la exposición de vulnerabilidades conocidas a través de políticas de seguridad adicionales.
[nekopost slugs="crear-volumen-persistente-local-kubernetes,kubectl-eliminar-pvc,comprender-los-recursos-de-la-api-de-kubectl,kubectl-reinicie-la-vaina,kubectl-crea-espacio-de-nombres,kubectl-ignorar-certificado,eliminar-kubernetes-de-implementacion,verifique-los-detalles-de-la-capsula-en-kubernetes,kubernetes-jsonpath"]