Questo documento descrive come configurare il servizio Knative e i relativi componenti principali seguendo le best practice per la sicurezza.
Protezione di Knative serving
Knative serving si basa sull'open source Knative ed eredita i suoi strategia di sicurezza.
I carichi di lavoro in esecuzione su Knative Serving condividono la stessa rete e gli stessi nodi di calcolo. Dovresti creare cluster separati per i carichi di lavoro che non hanno attendibilità reciproca. I cluster di servizi Knative non devono eseguire carichi di lavoro non correlati come l'infrastruttura CI/CD o i database.
I motivi per creare più cluster per i carichi di lavoro di Knative serving includono:
- Separazione degli ambienti di sviluppo da quelli di produzione.
- Isolare le applicazioni di proprietà di team diversi.
- Isolamento di carichi di lavoro con privilegi elevati.
Dopo aver progettato i cluster, esegui le seguenti azioni per proteggerli:
- Limita l'accesso al cluster.
- Comprendi il modello di minacce di Knative.
- Leggi il riferimento per la sicurezza di Knative se prevedi di utilizzare strumenti supportati dalla community.
Componenti di sicurezza
Sei responsabile della protezione dei componenti che non fanno parte di Knative serving.
Cloud Service Mesh
Knative serving si basa su Cloud Service Mesh per l'instradamento del traffico.
Utilizza le seguenti guide per proteggere meglio Cloud Service Mesh:
- Panoramica e funzionalità di sicurezza di Cloud Service Mesh.
- Best practice per la sicurezza di Cloud Service Mesh.
Google Kubernetes Engine
Knative Serving utilizza Google Kubernetes Engine (GKE) per pianificare i carichi di lavoro. Esegui le azioni seguenti per proteggere i tuoi cluster:
- Segui il tutorial sulla sicurezza di GKE Enterprise.
- Scopri il modello di multitenancy di Google Kubernetes Engine.
- Segui la guida alla protezione dei cluster Google Kubernetes Engine.
- Comprendere il modello di responsabilità condivisa di Google Kubernetes Engine.
Vulnerabilità note
Devi iscriverti ai bollettini sulla sicurezza per le dipendenze di Knative serving per restare al passo con le vulnerabilità note: