Linux教程FG580-大规模K8s集群网络策略与访问控制

Part01-基础概念与理论知识

1.1 网络策略基础

网络策略是Kubernetes中用于控制Pod间通信的规则，主要包括：

入站规则：控制进入Pod的流量
出站规则：控制从Pod发出的流量
Pod选择器：指定规则应用的Pod
命名空间选择器：指定规则应用的命名空间
端口和协议：指定允许的端口和协议

1.2 访问控制概念

访问控制是指控制用户和应用对Kubernetes资源的访问权限，主要包括：

RBAC（基于角色的访问控制）：通过角色和角色绑定控制访问权限
Pod安全策略：控制Pod的安全配置
网络策略：控制Pod间的网络通信
Secret和ConfigMap访问控制：控制对敏感信息的访问

1.3 Kubernetes网络插件

Kubernetes支持多种网络插件，常见的包括：

Calico：基于BGP的网络插件，支持网络策略
Flannel：简单的网络插件，不支持网络策略
Cilium：基于eBPF的网络插件，支持网络策略和服务网格
Weave Net：简单易用的网络插件，支持网络策略

Part02-生产环境规划与建议

2.1 网络策略规划

网络策略规划应考虑以下因素：

安全分区：根据应用的安全级别，划分不同的网络分区
通信规则：明确Pod间的通信规则，最小化网络访问权限
可扩展性：网络策略应易于扩展和维护
性能影响：网络策略不应显著影响网络性能

风哥提示：在大规模集群中，建议使用Calico或Cilium等支持网络策略的网络插件，确保网络安全。

2.2 访问控制策略规划

访问控制策略规划包括：

from PG视频:www.itpux.com

角色设计：根据用户和应用的权限需求，设计合适的角色
权限最小化：遵循最小权限原则，只授予必要的权限
审计日志：开启审计日志，记录访问控制事件
定期审查：定期审查访问控制策略，确保其有效性

2.3 安全合规要求

安全合规要求包括：

行业标准：PCI DSS、HIPAA、GDPR等行业合规要求
内部规范：企业内部的安全规范和标准
网络隔离：确保敏感应用和数据的网络隔离
访问审计：记录和审查网络访问和资源访问

from Linux:www.itpux.com

Part03-生产环境项目实施方案

3.1 网络策略配置

配置网络策略：

3.1.1 配置入站规则

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: fgedu-api-ingress
spec:
podSelector:
matchLabels:
app: fgedu-api
policyTypes:
– Ingress
ingress:
– from:
– podSelector:
matchLabels:
app: fgedu-frontend
ports:
– protocol: TCP
port: 8080
– from:
– namespaceSelector:
matchLabels:
name: monitoring
ports:
– protocol: TCP
port: 9100

3.1.2 配置出站规则

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: fgedu-api-egress
spec:
podSelector:
matchLabels:
app: fgedu-api
policyTypes:
– Egress
egress:
– to:
– podSelector:
matchLabels:
app: fgedu-db
ports:
– protocol: TCP
port: 3306
– to:
– namespaceSelector:
matchLabels:
name: kube-system
ports:
– protocol: UDP
port: 53

3.2 访问控制配置

配置访问控制：

3.2.1 配置RBAC

# 创建角色
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
name: fgedu-api-reader
namespace: default
rules:
– apiGroups: [“”]
resources: [“pods”, “services”]
verbs: [“get”, “list”, “watch”]

# 创建角色绑定
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
name: fgedu-api-reader-binding
namespace: default
subjects:
– kind: User
name: user1
apiGroup: rbac.authorization.k8s.io
roleRef:
kind: Role
name: fgedu-api-reader
apiGroup: rbac.authorization.k8s.io

3.2.2 配置Pod安全策略

apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
name: fgedu-restricted
spec:
privileged: false
allowPrivilegeEscalation: false
requiredDropCapabilities:
– ALL
volumes:
– ‘configMap’
– ’emptyDir’
– ‘projected’
– ‘secret’
– ‘downwardAPI’
– ‘persistentVolumeClaim’
hostNetwork: false
hostIPC: false
hostPID: false
runAsUser:
rule: ‘MustRunAsNonRoot’
seLinux:
rule: ‘RunAsAny’
supplementalGroups:
rule: ‘MustRunAs’
ranges:
– min: 1
max: 65535
fsGroup:
rule: ‘MustRunAs’
ranges:
– min: 1
max: 65535

3.3 网络策略管理

管理网络策略：

3.3.1 查看网络策略

# 查看命名空间中的网络策略
$ kubectl get networkpolicies -n default

# 查看网络策略详情
$ kubectl describe networkpolicy fgedu-api-ingress -n default

3.3.2 测试网络策略

# 创建测试Pod
$ kubectl run test-pod –image=busybox –restart=Never — sleep 3600

# 测试网络访问
$ kubectl exec test-pod — wget -qO- http://fgedu-api:8080

# 查看网络策略效果
$ kubectl logs -n kube-system $(kubectl get pods -n kube-system -l k8s-app=calico-node -o name | head -1) | grep fgedu-api

Part04-生产案例与实战讲解

4.1 大规模集群网络策略实施

大规模集群网络策略实施案例：

4.1.1 架构设计

使用Calico作为网络插件，支持网络策略
按应用类型和安全级别划分命名空间
为每个命名空间配置网络策略，控制Pod间通信
使用RBAC控制对网络策略的访问

4.1.2 实施步骤

# 安装Calico
$ kubectl apply -f https://docs.projectcalico.org/manifests/calico.yaml

# 创建命名空间
$ kubectl create namespace frontend
$ kubectl create namespace backend
$ kubectl create namespace database

# 配置网络策略
$ kubectl apply -f frontend-network-policy.yaml
$ kubectl apply -f backend-network-policy.yaml
$ kubectl apply -f database-network-policy.yaml

4.1.3 验证网络策略

# 测试前端到后端的访问
$ kubectl run frontend-test –image=busybox –restart=Never -n frontend — wget -qO- http://backend-service.backend:8080

# 测试后端到数据库的访问
$ kubectl run backend-test –image=busybox –restart=Never -n backend — wget -qO- http://database-service.database:3306

# 测试前端到数据库的访问（应该被拒绝）
$ kubectl run frontend-test –image=busybox –restart=Never -n frontend — wget -qO- http://database-service.database:3306

4.2 多租户网络隔离

多租户网络隔离案例：

4.2.1 架构设计

为每个租户创建独立的命名空间
配置网络策略，限制租户间的网络通信
使用RBAC控制租户对资源的访问
监控租户的网络流量

4.2.2 实施步骤

# 创建租户命名空间
$ kubectl create namespace tenant-a
$ kubectl create namespace tenant-b

# 配置租户网络策略
$ kubectl apply -f tenant-a-network-policy.yaml
$ kubectl apply -f tenant-b-network-policy.yaml

# 配置租户RBAC
$ kubectl apply -f tenant-a-rbac.yaml
$ kubectl apply -f tenant-b-rbac.yaml

4.2.3 验证网络隔离

# 测试租户A内部通信
$ kubectl run tenant-a-test –image=busybox –restart=Never -n tenant-a — wget -qO- http://tenant-a-service:8080

# 测试租户B内部通信
$ kubectl run tenant-b-test –image=busybox –restart=Never -n tenant-b — wget -qO- http://tenant-b-service:8080

# 测试租户A到租户B的访问（应该被拒绝）
$ kubectl run tenant-a-test –image=busybox –restart=Never -n tenant-a — wget -qO- http://tenant-b-service.tenant-b:8080

4.3 网络安全防护

网络安全防护案例：

4.3.1 架构设计

使用网络策略限制Pod间通信
配置Ingress规则，控制外部访问
使用Secret管理敏感信息
监控网络流量，检测异常行为

4.3.2 实施步骤

# 配置网络策略
$ kubectl apply -f security-network-policy.更多视频教程www.fgedu.net.cnyaml

# 配置Ingress
$ kubectl apply -f ingress.yaml

# 配置Secret
$ kubectl create secret generic db-credentials –from-literal=username=admin –from-literal=password=secret

# 部署监控
$ helm install prometheus prometheus-community/kube-prometheus-stack –namespace monitoring

4.3.3 验证安全防护

# 测试外部访问
$ curl http://api.fgedu.net.cn

# 测试未授权访问（应该被拒绝）
$ curl http://api.fgedu.net.cn/admin

# 查看网络流量监控
$ kubectl port-forward svc/prometheus-grafana 3000:80 -n monitoring

Part05-风哥经验总结与分享

在大规模Kubernetes集群中实施网络策略与访问控制时，需要注意以下几点：

网络插件选择：选择支持网络策略的网络插件，如Calico或Cilium
网络策略设计：遵循最小权限原则，只允许必要的网络通信
访问控制配置：使用RBAC和Pod安全策略，控制对资源的访问
多租户隔离：为每个租户创建独立的命名空间，并配置网络策略
监控告警：监控网络流量和访问控制事件，及时发现异常
安全合规：确保网络策略和访问控制符合行业合规要求
可扩展性：设计可扩展的网络策略和访问控制方案，支持业务增长
文档管理：建立网络策略和访问控制的文档，便于团队成员理解和维护

风哥提示：网络策略与访问控制是Kubernetes安全的重要组成部分，需要结合实际业务需求和安全要求进行合理配置和管理，确保集群的安全性和可靠性。