ניהול בקרת גישה מבוססת-תפקיד (ב) בסביבה דוקר

הקדמה: התפקיד הקריטי של בקרת גישה ב Docker

בעוד ארגונים מאמצים זרימות עבודה מקוטבות בקנה מידה, המערכת הביטחונית השתנתה.Docker סביבות לעתים קרובות משתרעות על מספר קבוצות, מפתחים, CI /CD צינורות, ופעולות ייצור.ללא בקרת גישה נאותה, אחד דחוס יכול לקשקד לתוך פריצות נתונים או הפרעות שירות. Role- Based Access Control (RBAC) מספק בקרת גישה מובנים, בקנה מידה רחב כדי לראות, לשנות, או להפעיל תמונות הפעלה, אבל לא מתאים לפחות.

מדריך זה עובר באמצעות יישום RBAC בסביבות Docker - מתכונות Native Docker Enterprise לספקי זהות חיצוניים וקונסולות ניהול צד שלישי.You תלמד פעולות תצורה קונקרטית, דפוסי שילוב ואסטרטגיות תחזוקה לטווח ארוך כדי לשמור על תשתית המכולה שלך מאובטח.

ניהול גישה מבוססת-תפקיד (RBAC)

[ה] RBAC הוא פרדיגמה אבטחה שבה הרשאות מערכת קשורות לתפקידים ארגוניים ולא למשתמשים בודדים.בהקשר דוקר, תפקיד עשוי להיות "מנהל קלסטר", "Developer", או "Read-Only Operator" כל תפקיד נושא קבוצה של פעולות מותרות - לדוגמה, FLT:0pull ImagesFrea: 2creates: 3,4, 000 תפקידים לניהול מחדש של משתמשים, 4.

RBAC תואם את העיקרון של לפחות פריבילגיה, להבטיח שלכל משתמש יש רק את הגישה המינימלית הדרושה לביצוע העבודה שלהם. בסביבות Docker, שבו מכולות עשויות לארח יישומים רגישים או נתונים, המכילות זו חיונית יותר, RBAC מפשטת שבילי ביקורת כי הרשאות הן מסומנות באופן הגיוני, מה שהופך את זה קל יותר לבדוק מי יכול לעשות את מה.

המונחים: RBAC

• (ב) ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇
• (ב) ויקרא י"א): "ה', ויקרא י', ויקרא י', ויקרא י'.
• [ה]: [ה] [ה]] [ה]], [ה'], [ה'], [ה'], [ה'], [ה']'[ה']'[ה']'[ה']'[ה']'.
• (ב) ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇
• (ב) ⁇ :0 ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇

מדוע הסביבה צריכה RBAC ייעודי

בקרת הגישה בשרית מסורתית משתמשת לעתים קרובות משתמשים וקבוצות ברמת המערכת, אבל דוקר מציג קבוצה חדשה של מופשטים.מספר משתמשים עשויים לשתף את אותו מארח Docker או אשכול, וכל אחד צריך גישה מבוקרת לדם דוקר, הרישום וכלים תזמורתיים.ללא RBAC, דוקר socket פתוח לכולם או נעול מאחורי חשבון אחד - לא ניתן למדידה ולא מאובטח.

המניעים הנפוצים ליישום Docker RBAC כוללים:

• (FLT:0) מקבץ חלקיקים מעצימים 1 (FLT: 1) – אחד Kubernetes או Swarm אשכול מארח יישומים ממספר קבוצות; RBAC מבודד סביבות.
• (ב) ,0) ציות לתקנות ציות ל- PCI-DSS, HIPAA או SOC2 דורשות בקרת גישה תועדות.
• (FLT:0) קידום סחף FLT:1 - מפתחים יכולים לפרוס כדי להזיז אך לא ייצור; מפעילי יכולים לחדש את השירותים אך לא לשנות תמונות.
• (ב) ,0) ,100 , אבטחת שרשרת שרשרת סודיות (FLT:1) - רק תפקידים מורשים יכולים לדחוף לדימויים מסוימים או לקדם תמונות בין שלבים.
• (ב) ,0) ,AuditמוכנותFLT:1 - יומני מבוסס רול חושף בדיוק אילו הרשאות שימשו במקרה.

אפשרויות לRBAC Native RBAC Capabilities

דוקר פיתח את מודל האבטחה שלו לאורך זמן.הסעיפים הבאים מכסים על גישות מובנות ונתמכות באופן רשמי.

Docker Enterprise/ UCP RBAC

(FLT:0note:EveFLT:1 ; Docker Enterprise (כולל מטוס הבקרה האוניברסלי, UCP) היה מוקרן בשנת 2021.עם זאת, ארגונים רבים עדיין מנהלים סביבות UCP, סיפקו מודל RBAC מלא עם ערכות משאבים גרפיים, תפקידים, מענקים.מנהלים יכולים להגדיר תפקידים מותאמים אישית עם פעולות כגון 'מובלה' או 'תפקיד 'סוד' של משתמשים, לאחר מכן, עם איסוף של או 'או', או 'או', או 'פולסר (OAP) של קבצים, צוותים של שירות משולב (OAP) של משתמשים (OAP) עם אוספים, או 'או', או 'קודים של קבצים, או 'או' (OCR).

עבור הצעות דוקר הנוכחיות, המוקד עבר לדוקר הובר, Docker Desktop, ו- Kubernetes-centric Tooling.Docker Hub מציע צוותים ברמת הארגון עם הרשאות מוגבלות (read/write/admin), בעוד דוקר שולחן העבודה כולל ניהול מדיניות מרכזי באמצעות בקרת בטיחות המכשיר וגישה הרישום. עבור RBAC מלא בייצור, רוב הקבוצות כיום דוקר על גבי קובנרים משתמשים בכלי צד שלישי.

Docker Swarm RBAC

מצב Docker Swarm כולל בקרת גישה בסיסית באמצעות Docker CLI עם תעודות לקוח TLS ו- RanchFLT:0 פקודות, עם זאת, Swarm אינה מאוישת RBAC בין משתמשים באותו מנהל Node. ליישם RBAC על סוומבר, בדרך כלל משלבת את ממשק API של Docker עם פרוקסי הפוך (כמו NGINX או Traefik) אשר בודקים את התעודה או ה-Sken כדי להשתמש ב-S כדי להשתמש ב-S.

ניהול API Access Control

כברירת מחדל, דוקר דימון מקשיב על שקע יוניקס בבעלות קבוצת FLT:1.כל משתמש בקבוצה זו יכול להפעיל כל פקודה דוקר.עבור גישה מרחוק API, אתה יכול להגדיר אימות TLS עם תעודות לקוחות.כל תעודה הלקוח יכול להטביע ארגונים (O) שדות, ו Docker יכול לאכוף כללים המבוססים על שדות אלה באמצעות תעודות או תוספים חיצוניים.

ספינות דוקר עם מודל (FLT:0) מארגן תוסף תוסף ל- 1 (FLT:2) ניתן לכתוב תוספים מותאמים אישית או להשתמש בקוד פתוח קיים (למשל, Twistlock, Aqua Security) כדי ליירט בקשות API וליישם מדיניות RBAC המבוססת על זהות המשתמש, משאבים ופעולה.

אינטגרטיבי זיהוי חיצוני

מרכזי אימות באמצעות LDAP, Active Directory, או OpenID Connect (OIDC) חיוני עבור הארגון RBAC. במקום ניהול אישורי Docker בנפרד, אתה קושר תפקידים לקבוצות מנהלות.Docker Enterprise/UCP נתמך זה Natively. forסביבות ללא Docker Enterprise, אתה עדיין יכול לשלב באמצעות Kubernetes RBAC (אם באמצעות Docker עם Kubernetes) או באמצעות קונסולות צד שלישי כיס.

LDAP / Active Directoryאינטגרציה

עבור Docker Swarm או Standalone nodes, הדרך הנפוצה ביותר היא להשתמש בכלי ניהול כמו Portainer או Rancher, אשר מתחבר לשרת LDAP שלך. in Portainer, להגדיר את הגדרות LDAP (server URL, בסיס DN, מסנן משתמש) ולאחר מכן למפות קבוצות LDAP כדי לפורטנר תפקידים (Adstrator, מפעיל, משתמש, או מותאם אישית).

אם אתה מפעיל Kubernetes עם Docker, אתה יכול להגדיר את שרת ה- API Kubernetes כדי לאמת משתמשים באמצעות אסימונים LDAP (באמצעות אימות אסימוניות Webhook) ולאחר מכן Kubernetes RBAC מדיניות לשלוט במה שמשתמשים יכולים לעשות, כולל פריסת מכולות, צפייה בפודים, או גישה לסודות.

OpenID Connect (OIDC) אינטגרציה

סביבות ענן-native לעתים קרובות מעדיף OIDC עבור אימות מבוסס-המוכר שלה, מזין. הן Rancher והן Kubernetes (באמצעות שרת API) תמיכה OIDC. לאחר OIDC מוגדר, משתמשים אותנטיים עם ספק הזהות הארגוני שלהם (כמו Okta, Azure AD, או Google Workspace), לקבל JWT, ואת תזמורת המפות לתביעות של tokens לתפקידים אלה עם זה פועל היטב עם Kubcos.

לקבלת גישה ישירה של Docker API גישה, אתה יכול להציב פרוקסי הפוך OIDC מול שקע Docker.ה Proxy מאמת את הסימון הדובי, לחלץ חברות קבוצתיות מתביעות, וליישם כללי אישור לפני ציפייה לדווקר דמוני.

כלי צד שלישי עבור RBAC ב Docker

מכיוון ש- RBAC יליד דוקר מוגבל בהקשרים מודרניים, פלטפורמות ניהול צד שלישי הפכו לסטנדרט דה- Facto לשליטה בגישה למארחים דוקר, אשכולות סובורים ורשומות.כלים אלה מספקים אינטואיטיבי UIs, תומכים באימות רב, ולשמור על הגדרות אישורים גרפיים.

פורטר

Portainer הוא ניהול קל משקל UI עבור Docker, Swarm, ו Kubernetes. זה מציע RBAC חזק: אתה יכול ליצור צוותים, להקצות תפקידים מותאמים אישית לסביבה (endpoint), ואפילו להגביל גישה למכלים ספציפיים, רשתות או כרכים. Portainer תומך אימות באמצעות LDAP, Azure AD, Oth, או מובנה משתמשים. לדוגמה, אתה יכול ליצור תפקיד "ניהול" תצוגות יכולות למחוק תמונות של תאים רק כדי להתחיל או לשנות את האפשרות ליצור רק כדי ליצור גישה.

RBAC של פורטנר מאויש באמצעות יישומי API משלה.All Docker API לעבור דרך Portainer, אשר מאמת הרשאות לפני העברתם ל-Docker daemon הבסיסי.זה אומר שאתה יכול לחשוף בבטחה את ממשק האינטרנט של Portainer (וממשק ה- API שלה) לקבוצות מרובות ללא מתן גישה דוקר ישיר.

(ב) ,0) ,(הרש"י) של יוס"ר (ב) ל"מ"ד)

Rancher

Rancher הוא פלטפורמה מלאה לניהול Kubernetes אשר תומכת גם לעמוד של Docker nodes. Rancher משתמשת Kubernetes RBAC תחת ה- hood ומרחיב אותו כדי Docker משאבים באמצעות ה- API של Rancher.You מגדיר תפקידים גלובליים, תפקידים אשכוליים ותפקידי פרויקט.פרויקטים שם פלטפורמות (או Docker Hosts) ותפקידים אשר משתמשים יכולים לנהל עומסים, אחסון, ובתוך תוקפנות.

עבור דוקר טהור (לא-Kubernetes) ההתקנה, Rancher יכול לייבא מארח דוקר עומד ויישם מדיניות RBAC באמצעות מסגרת האישור של Rancher.מנוע Docker של המארח הוא גישה דרך מנהרה המנוהלת על ידי Rancher, לאכוף את בקרת הגישה הנדרשת.

(ב) ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇

פתחה (Red Hat)

Red Hat OpenShift, שנבנה על Kubernetes, מספק RBAC ברמת הארגון עם מגבלות אבטחה נוספות (סעיף סודיות קונסטריט, SCC) בעוד OpenShift משתמש Kubernetes RBAC עבור הרשאות משתמשות, SCC שלה פועל ברמה המריצה כדי לשלוט במה יכולות לינוקס, נפחים, ו- SEלינוקס ההקשרים יכול להשתמש זה משלים DockerC על ידי מניעת הרשאות משתמש אפילו כדי להפיץ הרשאות משתמש.

OpenShift משלב עם ספקי זהות חיצוניים ומאפשר שליטה על משאבי הפרויקט.צוותים יכולים לקבל גישה רק למרחבי שם ספציפיים (פרוטים) עם תפקידים כמו "מנהל", "מדיטציה", או "מבט".

RBAC ב Docker-Wrapped Kubernetes Environments

פריסות מכולות מודרניות לעתים קרובות להשתמש Kubernetes כדי לתזדור את Docker מכולות.בהגדרות אלה, RBAC מטופל בעיקר על ידי Kubernetes, לא על ידי Docker daemon. עם זאת, הבנת היחסים היא חיונית כי Docker הוא עדיין מיכל לרוץ זמן (למרות להחליף עם מיכלד).

Kubernetes RBAC משתמש במשאבים (FLT 3: 4) ואובייקטים כדי להגדיר הרשאות נגד (FLT:5 (get, list, ליצור, למחוק) על משאבים (pods, שירותים, פריסות) משתמשים אותנטיים באמצעות תעודות, דוב אסימונים, או ספקי זהות פרוקסיים.

בנוסף, Kubernetes תומך תקני אבטחה פוד ו- OPA / Gatekeeper, אשר לאכוף מדיניות אבטחה בזמן קבלה. אלה יכולים להגביל הגדרות ספציפיות Docker כמו מצב פריבילגי, גישה לרשת המארחת, או תמונות מותרות.

(ב) קרא את ה- Kubernetes RBACIRFLT 1 לתצורה מפורטת.

Best Practices for Implementing RBAC ב Docker

תכנון תפקידים אשר איזון אבטחה ופרודוקטיביות דורש תכנון זהיר.הפרקטיקות הבאות יעזרו לך לבנות אסטרטגיה RBAC חזקה.

1.אימוץ ההיררכיה של התפקיד עם ליסט פרייגל

(ב) בורא עולם (ב"ג): "הנביאים" (במדבר כ"ד) , (ב) ויקרא-רק) (ב"ב) ,"ה' (ב') , ויקרא י' (ב') ,"ה') ,"ו' (ה') ויקרא כ') ,' , , , , ויקרא כ' , ויקרא כ' ויקרא ויקרא ויקרא ויקרא ויקרא ויקרא כ' ויקרא ויקרא ויקרא ויקרא ויקרא ויקרא כ' ויקרא ויקרא ויקרא ויקרא ויקרא ויקרא ויקרא ויקרא ויקרא כ' ויקרא כ' ויקרא כ' ויקרא כ' ויקרא ויקרא ויקרא ויקרא ויקרא ויקרא ויקרא ויקרא ויקרא ).

השתמש בקבוצות, לא משתמשים בודדים

תמיד להקצות תפקידים לקבוצות (או קבוצות) ולא משתמשים בודדים.הקשקשים עם הארגון שלך: כאשר משתמש מצטרף לצוות, הם יורשים את הרשאות של הצוות.קבוצות זהות חיצוניות (LDAP, Azure AD) עושים את זה חלק.

« החל RBAC בתזמורת שכבת

אם אתה משתמש Kubernetes, לנהל RBAC דרך FLT:6 ו-FLT 7 להימנע להסתמך על Docker daemon-level גישה עבור משתמשים מרובים. שכבת התזמורת מציעה בידוד שם, מדיניות רשת, וציטוטים משאבים שמשלים הגדרות תפקיד.

4.הגבלת הגישה לדווקר Socket

רק שירותים הדורשים זאת (למשל, סוכני ניטור, Kubernetes kubelet) צריכים לעלות את שקע Docker.משתמשים לא צריכים גישה SSH למארחים Docker. במקום זאת, לסלול את כל הפעולות Docker באמצעות ממשק API ניהולי או Kubernetes API.

5.הסתירה להפרות של דוס

ודא כי אף משתמש יחיד לא יכול לבנות תמונה ייצור ולהפיץ אותו. השתמש בזרימות עבודה לקידום תמונות שבו תפקיד "בניין" יכול לדחוף למרשם ממריץ, אבל רק תפקיד "מנהל השחרור" יכול לקדם תמונות לייצור.

ביקורת וביקורת סדירה

קבע לוח זמנים (חודשיים או רבעי) כדי לבחון חברות ורשות לתפקידים. Remove חשבונות לא בשימוש ולהתאים תפקידים כפי שמיזמים מתפתחים. השתמש בכלים אוטומטיים כמו FLT:8 (עבור Kubernetes) או יומני הביקורת של פורטנדר כדי לאמת מי יש גישה.

7.הספקת אודיטינג בכל מקום

Conform Docker daemon ביקורת logging (באמצעות קובץ JSON או סילוג) כדי ללכוד בקשות API. in Kubernetes, לאפשר מדיניות ביקורת כדי להזין את כל שיחות ה- API. שלח יומני למערכת אבטחת מידע מרכזית וניהול אירועים (SIEM) לאיתור אנומלי.

השתמש במחבר חיצוני Plugins עבור מדיניות מתקדמת

אם אתה מפעיל את Docker Standalone וצריכה שליטה עתירה (למשל, יכול רק למשוך תמונות מרישום ספציפי), ליישם תוסף אישור דוקר.

מלכודות נפוצות וכיצד להימנע מהם

גם עם כוונות טובות, יישומי RBAC יכולים להיכשל.כאן שגיאות טיפוסיות ופתרונותיהם.

• (FLT:0) תפקידים פרטיים-מחדשים 1 (FLT:1) - מתן כל מפתח תפקיד "מנהל" לנוחות.פתרון: התחל עם קורא בלבד ולהסלים על בסיס צורך.
• (FLT:0)Role sprawlFLT:1 - יצירת עשרות תפקידים דומים מבלבלים את המשתמשים: לשמור על תפקידים גנריים ולהשתמש קבוצות / קבוצות כדי להבדיל.
• (FLT:0) אבחון ה- Docker socketveFLT:1) - השארת שקע דוקר חשוף למשתמשים שאינם מנהלים: השתמש בגישה שכבתית - לעולם לא לתת גישה שקעית ישירה; Proxy באמצעות כלי ניהול.
• (ב) [ה]:0] בידוד השם של קובראנטסבנדרל 1 [ה] – לא להגדיר RBAC למרחב שמות מוביל להפרעות בין חברי הצוות: השתמש ב-FLT:9 (שם שטח-סקופ) במקום .
• (FLT:0) No Lifecycle ManagementFLT:1 - תפקידים הופכים סטטיים בעוד משתמשים משנים תפקידים.פתרון: Integrate withעובד מחזור חיים באמצעות קבוצות ספק זהות.

עקבו אחרי

RBAC ללא שבילי ביקורת הוא תיאטרון אבטחה, אתה חייב ללכוד מי ביצע את הפעולה, מתי, וממנה IP. Docker מספק כמה מנגנוני כניסה:

• [ה] ב[[1924]] וב[[1924]]]]]] [[1924]]]]]] [[1924]]]]]] [[1924]]]]]]]] [[1924]]]]]]]]]]]]]]]]]] ו[[1924]]]]
• (ב) ,0) ,Authorization plugins: 1 (אם משתמשים בתוסף authz, פרטי החלטות כניסה.
• (FLT:0)Kubernetes מדיניות ביקורת ביקורת 1FLT:1 - Enables עשיר יומני עם מידע משתמש, לבקש פועלי בקשה וסטטוס תגובה.

כלים של צד שלישי כמו Datadog, Splunk, או אלסטיסט יכולים לפצח את הלוגים הללו ולהזהיר בדפוסים חשודים - לדוגמה, ניסיונות בלתי מורשים חוזרים, הסלמה פריבילגיה או פעולות מחוץ לשעות טיפוסיות.

מסקנה

יישום בקרת גישה מבוססת רול בסביבות Docker הוא לא תצורה חד פעמית אבל משמעת מתמשכת.אם אתה בוחר תכונות Native Docker Enterprise, לשלב עם LDAP / OIDC, או לפרוס פלטפורמה צד שלישי כמו Portainer או Rancher, המפתח הוא להתאים הרשאות עם תפקידים ארגוניים ואכיפתם באופן עקבי על פני מחזור חיי המיכל שלך, ולאחר מכן ליישם את העיקרון של ביקורות זוגיות לפחות.

בעוד אימוץ מכולות ממשיך לגדול, RBAC יישאר שליטה ביטחונית בסיסית.על ידי ביצוע הדפוסים והשיטות הטובות ביותר המפורטות כאן, אתה יכול להגן על תשתית דוקר שלך מפני איומים חיצוניים ושימוש לרעה פנימי, תוך מתן אפשרות לצוותי הפיתוח והמבצעים שלך לעבוד ביעילות.