En este documento, se describe cómo configurar la entrega de Knative y sus componentes principales según las prácticas recomendadas de seguridad.
Protege la entrega de Knative
La entrega de Knative se basa en el proyecto de código abierto Knative y hereda su postura de seguridad.
Las cargas de trabajo que se ejecutan en la entrega de Knative comparten la misma red y los mismos nodos de procesamiento. Debes crear clústeres separados para las cargas de trabajo que no tengan confianza mutua. Los clústeres de entrega de Knative no deben ejecutar cargas de trabajo no relacionadas, como infraestructura o bases de datos de CI/CD.
Entre los motivos para crear varios clústeres destinados a las cargas de trabajo de entrega de Knative, se incluyen los siguientes:
- Separar el desarrollo de los entornos de producción.
- Aislar aplicaciones que pertenecen a distintos equipos
- Aislar las cargas de trabajo con un gran nivel de privilegios
Una vez que hayas diseñado tus clústeres, realiza las siguientes acciones para protegerlos:
- Restringe el acceso al clúster.
- Comprende el modelo de amenazas de Knative.
- Lee la referencia de seguridad de Knative si planeas usar herramientas respaldadas por la comunidad.
Protección de componentes
Eres responsable de proteger los componentes que no forman parte de la entrega de Knative.
Anthos Service Mesh
La entrega de Knative se basa en Anthos Service Mesh para el enrutamiento de tráfico.
Usa las siguientes guías para proteger Anthos Service Mesh:
- Descripción general y características de seguridad de Anthos Service Mesh.
- Prácticas recomendadas de seguridad de Anthos Service Mesh
Google Kubernetes Engine
La entrega de Knative usa Google Kubernetes Engine (GKE) para programar cargas de trabajo. Realiza las siguientes acciones para proteger los clústeres:
- Sigue el instructivo de seguridad de GKE Enterprise.
- Comprende el modelo multiusuario de Google Kubernetes Engine.
- Sigue la guía de endurecimiento de clústeres de Google Kubernetes Engine.
- Comprende el modelo de responsabilidad compartida de Google Kubernetes Engine.
Vulnerabilidades conocidas
Debes suscribirte a los boletines de seguridad de las dependencias de entrega de Knative para que puedas mantenerte al tanto de las vulnerabilidades conocidas: