Kubernetes'te çok kiracılı ortamlarda protokol güvenliği

Android Debug Bridge (ADB) ve WebRTC gibi yaygın protokoller varsayılan olarak şifresiz kanallar üzerinden çalışıyor ve kurumsal kimlik doğrulama mekanizmalarını, mesela JWT, desteklemiyor. Bu durum, Amazon EKS dahil multi-tenant Kubernetes kümelerinde ciddi bir risk oluşturuyor.

Problem şu: bir Kubernetes kümesinde birden fazla kiracının podları çalışırken, ağ politikaları açıkça yapılandırılmadığı sürece herhangi bir pod, diğer kiracıların açık portlarına doğrudan erişebiliyor. Örneğin, bir podun ADB hizmetini dinlemesi halinde, aynı kümede çalışan başka bir kiracının podu bu servise bağlanıp veri okuyabilir veya komut çalıştırabilir.

Amazon'un güvenlik ekibi, bu açıkları kapatmak için ağ politikaları ve service mesh çözümleri öneriyor. Kubernetes'in NetworkPolicy kaynağını kullanarak, pod-to-pod trafiğini sınırlandırmak ilk adım. Daha kapsamlı koruma için Istio ya da Cilium gibi araçlar, şifreleme ve kimlik doğrulama katmanı ekliyor.

Multi-tenant bir ortamda çalışıyorsanız, bu tür açıkları göz ardı etmek maliyetli olabilir. Protokollerin varsayılan ayarlarını kontrol edin, gereksiz portları kapatın ve her kiracı arasında net sınırlar çizin. Güvenlik politikalarını erken aşamada tasarlamak, sonradan yapılan düzeltmelerden çok daha etkili.