1. 启用审计 添加配置 –audit-policy-file=/etc/kubernetes/logpolicy/audit.yaml –audit-log-path=/var/log/0-audit.log –audit-log-path 指定用来写入审计事件的日志文件路径。不指定此标志会禁用日志后端 –audit-log-maxage 定义了保留旧审计日志文件的最大天数 –audit-log-maxbackup 定义了要保留的审计日志文件的最大数量 –audit-log-maxsize 定义审计日志文件的最大大小（兆字节） 12345678910111213141516- name: audit hostPath: path: /etc/kubernetes/logpolicy/audit.yaml type: File- name: audit-log hostPath: path: /var/log/0-audit.log type: FileOrCreatevolumeMounts:- mountPath: /etc/kubernetes/log ...

1. 准入控制器 其实就是kuberntes的功能控制，可以开启、关闭一些功能 查看支持的准入控制器 kubectl exec -it kube-apiserver-vms71 -n kube-system – kube-apiserver -h | grep enableadmission-plugins 可以关闭准入控制器 #- --disable-admission-plugins=LimitRanger,ResourceQuot 1.1 资源限制 1.1.1 限制svc 1234567apiVersion: v1kind: ResourceQuotametadata: name: myrqspec: hard: services: "4" 1.1.2 名称空间限制资源 123456789101112apiVersion: v1kind: LimitRangemetadata: name: mem-min-max-demo-lr namespace: demo4spec: limits: - max: memory: 1Gi ...

1. 简介 利用kubernetes自带的一些功能及第三方的工具来提升kubernetes的安全性 2. PSP pod安全策略 2.1 启用psp 1- --enable-admission-plugins=NodeRestriction,PodSecurityPolicy 一旦启用了PSP，且没有任何PSP规则的情况下，任何用户都不能再创建pod，包括管理员 2.2 创建规则 2.2.1 不允许创建特权pod 12345678910111213141516apiVersion: policy/v1beta1kind: PodSecurityPolicymetadata: name: psp1spec: privileged: false seLinux: rule: RunAsAny supplementalGroups: rule: RunAsAny runAsUser: rule: RunAsAny fsGroup: rule: RunAsAny volumes: - "*" 此时普通用户无法访问到psp，因此仍然无 ...

1. 简介 Linux内核会根据需要从磁盘自动加载内核模块 与Kubernetes特别相关的是，即使没有特权的进程也可以通过创建适当类型的套接字来加载某些与网络协议相关的内核模块。 这可能使攻击者利用管理员认为未使用的内核模块中的安全漏洞。 2. 最小权限原则（POLP） POLP principle of least privilege 够用就行，不用多给权限 提高安全性 降低被攻击面 增强系统稳定性 权限审核—确保所有用户只有能完成本职工作的权限 设置所有用户最低权限—根据需要提权 权限分离—管理员和普通用户 3. apparmor 类似于centos、rhel系统里的selinux，主要作用是设置哪些进程能够访问哪些文件，不能访问哪些文件 3.1 安装 1apt-get install apparmor-profiles apparmor-utils 规则目录 1cd /etc/apparmor.d/ 3.2 编写规则 对于apparmor来说，规则文件有几种类型： 3.2.1 标准配置文件 1234#include <tunables/global>/usr/sbi ...

1. 简介 两台主机通信的时候，如果是通过明文的方式通信两者之间的数据很容易被截获，两台主机要安全通信，需要在两者之间实现数据的加密。主要涉及到对称加密，非对称加密，哈希函数。 2. 对称加密 所谓对称加密，即加密和解密使用相同的密钥，这个密钥可以理解为就是密码。 这里A用一个对称加密密钥haha001加密了一个数据，然后把加密之后的数据发送给B之后，因为是加密数据，所以B是打不开的。所以A需要把密码告诉B才行。但是如何告诉B密钥是haha001呢？这是一个问题，因为这个过程很可能被别人监测到。 3. 非对称加密 对于非对称加密算法来说，包括2个密钥一个是公钥，一个是私钥。公钥是可以公开的，私钥需要保护好。对于非对称加密来说主要作用有两个，一是数据加密，而是数字签名。 3.1数据加密 上图里锁的图标表示公钥，钥匙的图标表示私钥。 第一步：B把公钥发送给A 第二步：A用B的公钥加密数据 第三步：A把加密后的数据发送给B 第四步：B用自己的私钥对加密数据进行解密 因为别人获取不到B的私钥，所以在第三步里即便数据被接获了也解密不了，因为只有B的私钥才能解密。 如果把对称加密和非对称加 ...

1. 前言 官网：https://kubernetes.io/ 官方文档：https://kubernetes.io/zh-cn/docs/home/ 2. 前期准备（所有节点） 2.1 修改主机名和配置 hosts 先部署 1master 和 2node 节点，后面再加一个 master 节点 123456# 在192.168.0.113执行hostnamectl set-hostname k8s-master-168-0-113# 在192.168.0.114执行hostnamectl set-hostname k8s-node1-168-0-114# 在192.168.0.115执行hostnamectl set-hostname k8s-node2-168-0-115 配置 hosts 12345cat >> /etc/hosts<<EOF192.168.0.113 k8s-master-168-0-113192.168.0.114 k8s-node1-168-0-114192.168.0.115 k8s-node2-168-0-115EOF 2.2 ...

1. 简介 开发运维一体化 CI/CD持续集成，持续交付 2. 部署harbor服务器 2.1 安装docker-ce 通过文章docker安装和加速安装docker-ce 2.2 安装harbor 通过文章harbor安装harbor 2.3 集群节点配置私有harbor 123vim /etc/containerd/config.toml [plugins."io.containerd.grpc.v1.cri".registry.mirrors."192.168.10.251"] endpoint = ["http://192.168.10.251"] 重启服务 1systemctl restart containerd 3. 部署ops服务器 3.1 安装docker 通过文章docker安装和加速安装docker-ce 3.2 配置docker 配置私有harbor 12vim /usr/lib/systemd/system/docker.serviceExecStart=/usr/b ...

1. 简介 在kubernetets系统上，1个单位的CPU相当于虚拟机上的一颗虚拟CPU（vCPU）或者物理机上的一个超线程（HyperThread，或者称一个逻辑（CPU），它支持分数计量方式，一个核心（1core）相当于1000个微核心（millicores），因此500m相当于是0.5个核心，即二分之一个核心 2. resource字段来限制 创建pod做资源限制 1234567891011121314151617181920212223apiVersion: v1kind: Podmetadata: creationTimestamp: null labels: run: pod1 name: pod1-newspec: #serviceAccount: sa1 containers: - image: centos imagePullPolicy: IfNotPresent name: pod1 resources: requests: memory: "256Mi" cpu: & ...

1. 认证 1.1 token登录 1.1.1 生成token 1openssl rand -hex 10 1.1.2 创建认证文件 12cat /etc/kubernetes/pki/ren.csvd4cd5cf1f44fc9232f4c,ren,3 1.1.3 修改kube-api配置 1- --token-auth-file=/etc/kubernetes/pki/ren.csv 1.1.4 重启kubelet 1systemctl restart kubelet 1.1.5 登录 1kubectl -s https://172.17.203.55:6443 --insecure-skip-tls-verify=true --token="d4cd5cf1f44fc9232f4c" get nodes 1.2 kubeconfig登录 123456789101112131415161718192021[root@node001 chap11-helm]# kubectl config viewapiVersion: v1clusters:- cluster: ...

1. 简介 helm的作用就是把许多的定义比如svc，deployment，seucrt一次性全部定义好，放在源里统一管理，方便部署到其他集群上。 2. 安装helm https://github.com/helm/helm/releases/tag/v3.2.1 tar zxf helm-v3.2.1-linux-amd64.tar.gz mv linux-amd64/helm /usr/local/bin/ 编辑/etc/profile source <(helm completion bash) 保存退出 source /etc/profil 3. helm仓库 12345helm repo listhelm repo add azure http://mirror.azure.cn/kubernetes/charts/helm repo add github https://burdenbear.github.io/kube-charts-mirrorhelm repo add stable https://kubernetes.oss-cn-hangzhou.aliyu ...