k8s (in)security

Компания Amazon опубликовала серию постов "Policy-based countermeasures for Kubernetes" [1,2].

По сути, это свежий (от 31 марта 2021) обзор и сравнение policy engines, который поможет вам выбрать наиболее подходящий для вашей компании. Среди рассматриваемых кандидатов:

- OPA

- Gatekeeper

- MagTape

- Kyverno

- k-rail



К сожалению, на момент публикации Kubewarden еще не был выпущен, и он тут не рассматривается.



Все решения описываются по следующим пунктам:

1) Создание политик

2) Реакция на недоступность webhook (fail open vs. fail closed)

3) Возможность фонового сканирования

4) Расширяемость кода и данных

5) Архитектура и развитие используемых политик

6) Возможность работы вне Kubernetes кластера (встраивание в CI\CD)



Материал просто MUST READ, а policy engine уже должен быть неотъемлемой частью вашего Kubernetes кластера!