Merhaba! Ben

Federico Calò

Sviluppatore Software | Divulgatore Tecnico

Creo applicazioni web moderne e strumenti digitali personalizzati per aiutare le attività a crescere attraverso l'innovazione tecnologica. La mia passione è unire informatica ed economia per generare valore reale.

İletişime Geç

Hakkımda

La mia passione per l'informatica è nata tra i banchi dell'Istituto Tecnico Commerciale di Maglie, dove ho scoperto il potere della programmazione e il fascino di creare soluzioni digitali. Fin da subito, ho capito che l'informatica non era solo codice, ma uno strumento straordinario per trasformare idee in realtà.

Durante gli studi superiori in Sistemi Informativi Aziendali, ho iniziato a intrecciare informatica ed economia, comprendendo come la tecnologia possa essere il motore della crescita per qualsiasi attività. Questa visione mi ha accompagnato all'Università degli Studi di Bari, dove ho conseguito la Laurea in Informatica, approfondendo le mie competenze tecniche e la mia passione per lo sviluppo software.

Oggi metto questa esperienza al servizio di imprese, professionisti e startup, creando soluzioni digitali su misura che automatizzano processi, ottimizzano risorse e aprono nuove opportunità di business. Perché la vera innovazione inizia quando la tecnologia incontra le esigenze reali delle persone.

Yeteneklerim

Analisi Dati & Modelli Previsionali

Trasformo i dati in insights strategici con analisi approfondite e modelli predittivi per decisioni informate

Süreç Otomasyonu

Creo strumenti personalizzati che automatizzano operazioni ripetitive e liberano tempo per attività a valore aggiunto

Özel Sistemler

Sviluppo sistemi software su misura, dalle integrazioni tra piattaforme alle dashboard personalizzate

const federico = {
  nome: "Federico Calò",
  ruolo: "Sviluppatore Software",
  città: "Bari, Italia",
  missione: "Aiutare attraverso l'informatica",
  passioni: [
    "Codice Pulito",
    "Innovazione",
    "Crescita Continua"
  ]
};

Misyonum

Credo fermamente che l'informatica sia lo strumento più potente per trasformare le idee in realtà e migliorare la vita delle persone.

Teknolojiyi Demokratikleştirmek

La mia missione è rendere l'informatica accessibile a tutti: dalle piccole imprese locali alle startup innovative, fino ai professionisti che vogliono digitalizzare la propria attività. Ogni realtà merita di sfruttare le potenzialità del digitale.

BT ve İş Dünyasını Birleştirmek

Non è solo questione di scrivere codice: è capire come la tecnologia possa generare valore reale. Intrecciando competenze informatiche e visione economica, aiuto le attività a crescere, ottimizzare processi e raggiungere nuovi traguardi di efficienza e redditività.

Özel Çözümler Oluşturmak

Ogni attività è unica, e così devono esserlo le soluzioni. Sviluppo strumenti personalizzati che rispondono alle esigenze specifiche di ciascun cliente, automatizzando processi ripetitivi e liberando tempo per ciò che conta davvero: far crescere il business.

İşletmenizi Teknolojiyle Dönüştürün

Che tu gestisca un negozio, uno studio professionale o un'azienda, posso aiutarti a sfruttare le potenzialità dell'informatica per lavorare meglio, più velocemente e in modo più intelligente.

Konuşalım →

Unisciti alla Community

Entra nella community di sviluppatori dove discutiamo di software, AI, architettura e DevOps. Condividi idee, fai domande e cresci insieme a noi.

Canale

FC Dev Blog

Ricevi notifiche su nuovi articoli, serie complete, tips settimanali e tool in evidenza. Contenuti bilingui IT/EN direttamente nel tuo Telegram.

Nuovi articoli appena pubblicati
Tips e code snippets settimanali
Sondaggi sugli argomenti futuri

Iscriviti al Canale

Gruppo

FC Dev Community

Una community bilingue IT/EN per sviluppatori. Discussioni, Q&A, aiuto reciproco e networking con altri professionisti del settore.

Discussioni su articoli e tecnologie
Help coding e code review
Opportunità di lavoro e collaborazione

Unisciti al Gruppo

Topic di Discussione

Visualizza

Master SQL

RoadMap.sh

Novembre 2024

Visualizza

Oracle Certified Foundations Associate

Oracle

Ottobre 2024

Visualizza

People Leadership Credential

Connect

Settembre 2024

Linguaggi & Tecnologie

Java

Python

JavaScript

Angular

React

TypeScript

SQL

PHP

CSS/SCSS

Node.js

Docker

Git

💼

12/2024 - Presente

Custom Software Engineering Analyst

Accenture

Bari, Puglia, Italia · Ibrida Analisi e sviluppo di sistemi informatici attraverso l'utilizzo di Java e Quarkus in Health and Public Sector. Formazione continua su tecnologie moderne per la creazione di soluzioni software personalizzate ed efficienti e sugli agenti.

💼

06/2022 - 12/2024

Analista software e Back End Developer Associate Consultant

Links Management and Technology SpA

Esperienza nell'analisi di sistemi software as-is e flussi ETL utilizzando PowerCenter. Formazione completata su Spring Boot per lo sviluppo di applicazioni backend moderne e scalabili. Sviluppatore Backend specializzato in Spring Boot, con esperienza in progettazione di database, analisi, sviluppo e testing dei task assegnati.

💼

02/2021 - 10/2021

Programmatore software

Adesso.it (prima era WebScience srl)

Esperienza nell'analisi AS-IS e TO-BE, evoluzioni SEO ed evoluzioni website per migliorare le performance e l'engagement degli utenti.

🎓

2018 - 2025

Laurea in Informatica

Università degli Studi di Bari Aldo Moro

Bachelor's degree in Computer Science, focusing on software engineering, algorithms, and modern development practices.

📚

2013 - 2018

Diploma - Sistemi Informativi Aziendali

Istituto Tecnico Commerciale di Maglie

Technical diploma specializing in Business Information Systems, combining IT knowledge with business management.

İletişime Geç

Aklınızda bir proje mi var? Konuşalım! Formu doldurun, en kısa sürede dönüş yapacağım.

* Campi obbligatori. I tuoi dati saranno utilizzati solo per rispondere alla tua richiesta.

Kubernetes Güvenliği: RBAC, Pod Güvenlik Standartları ve OPA Ağ Geçidi Bekçisi

Varsayılan ve şaşırtıcı derecede güvenli olmayan bir Kubernetes kümesi: kapsayıcılar çalışabilir kök olarak, ana bilgisayar düğümü dosya sistemini bağlayın, belirteci ile sunucu API'sine erişin Geniş izinlere sahip ServiceAccount. 2025'te ortamlardaki güvenlik olaylarının %68'i konteynerleştirilmiş, güvenlik açıklarından ziyade yapılandırma hatalarından kaynaklanıyordu yazılım (kaynak: Sysdig Container Security Report 2025). İyi haber: Kubernetes bu riskli kurulumları ortadan kaldırmak için güçlü araçlar sunar.

Bu makale tam bir küme sağlamlaştırmayı kapsar: RBAC kontrol etmek Kubernetes API ile kim ne yapabilir? Pod Güvenlik Standartları önlemek için ayrıcalıklı kapsayıcılar ve riskli yapılandırmalar, e OPA Bekçisi için "Tüm görseller nereden gelmeli" gibi özel şirket politikaları uygulayın dahili kayıt defteri" veya "kaynak sınırlaması olmadan dağıtım yok".

Ne Öğreneceksiniz

Kubernetes yetkilendirme modeli: RBAC, fiiller, kaynaklar, kapsam
En Az Ayrıcalık İlkesi: Rol, ClusterRole, RoleBinding uygulandı
ServiceAccount: Otomatik olarak eklenen belirteçleri sınırlama ve IRSA/Workload Identity'yi kullanma
Pod Güvenlik Standartları: Ayrıcalıklı, Temel, Kısıtlı ve ad alanına göre uygulama
OPA Gatekeeper: Kurulum, Rego'da Kısıtlama Şablonu, Kısıtlama
Ortak politikalar: Onaylanmış kayıt görüntüleri, zorunlu kaynak sınırları, kök yok
Denetim günlüğü: Kümede kimin ne yaptığını izleyin
Tam sertleştirme kontrol listesi

RBAC: Rol Tabanlı Erişim Kontrolü

RBAC (Rol Tabanlı Erişim Kontrolü), Kubernetes'in temel yetkilendirme mekanizmasıdır. Tanımlar DSÖ (Konu: Kullanıcı, Grup, Hizmet Hesabı) çalıştırılabilir hangi eylem (fiil: al, listele, izle, oluştur, güncelle, yama yap, sil) yukarı hangi kaynak (Kaynak: bölmeler, dağıtımlar, sırlar) hangi kapsam (Role/RoleBinding içeren ad alanı veya kümenin tamamı ClusterRole/ClusterRoleBinding).

Geliştirme Ekibi için Rol ve Rol Bağlama

# rbac-developer-role.yaml
# Un ruolo per i developer: possono vedere e modificare
# deployment/pod/service nel loro namespace, ma non secrets
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: developer
  namespace: team-alpha
rules:
  # Deployment: lettura + scaling
  - apiGroups: ["apps"]
    resources: ["deployments", "replicasets"]
    verbs: ["get", "list", "watch", "create", "update", "patch"]
  # Pod: lettura + exec + logs
  - apiGroups: [""]
    resources: ["pods"]
    verbs: ["get", "list", "watch"]
  - apiGroups: [""]
    resources: ["pods/log"]
    verbs: ["get", "list"]
  - apiGroups: [""]
    resources: ["pods/exec"]
    verbs: ["create"]
  # Service e ConfigMap: accesso completo
  - apiGroups: [""]
    resources: ["services", "configmaps", "endpoints"]
    verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]
  # HPA
  - apiGroups: ["autoscaling"]
    resources: ["horizontalpodautoscalers"]
    verbs: ["get", "list", "watch"]
  # Ingress
  - apiGroups: ["networking.k8s.io"]
    resources: ["ingresses"]
    verbs: ["get", "list", "watch", "create", "update", "patch"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: team-alpha-developers
  namespace: team-alpha
subjects:
  # Gruppo di utenti (gestito da OIDC/SSO)
  - kind: Group
    name: "team-alpha-devs"
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: developer
  apiGroup: rbac.authorization.k8s.io

Sınırlı Kapsamlı SRE/Yönetici için ClusterRole

# rbac-sre-clusterrole.yaml
# SRE: accesso in lettura a tutto il cluster, write solo su namespace specifici
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cluster-reader
rules:
  - apiGroups: ["*"]
    resources: ["*"]
    verbs: ["get", "list", "watch"]
  # Nega esplicita: non puo leggere i secrets (sovrascritta da DENY)
  # NOTA: in RBAC Kubernetes non esiste DENY esplicita - usa Gatekeeper per questo
---
# SRE: read su tutto + write limitato ai namespace di produzione
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: sre-cluster-reader
subjects:
  - kind: Group
    name: "platform-sre"
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: cluster-reader
  apiGroup: rbac.authorization.k8s.io

# Verifica i permessi di un utente/serviceaccount
kubectl auth can-i create pods --as=system:serviceaccount:production:api-server-sa
kubectl auth can-i delete secrets --as=developer-user -n production
kubectl auth can-i '*' '*' --as=alice  # lista tutto quello che alice puo fare

ServiceAccount: Otomatik Belirteçleri Sınırlayın

Varsayılan olarak her Kapsül otomatik olarak geçerli bir ServiceAccount belirtecini bağlar. Pod'larda ki Kubernetes API'sini çağırmazlar, bu belirteç işe yaramaz ancak saldırı yüzeyini artırır:

# serviceaccount-minimal.yaml
# ServiceAccount dedicata per ogni applicazione (mai usare default)
apiVersion: v1
kind: ServiceAccount
metadata:
  name: api-server-sa
  namespace: production
  annotations:
    # Su AWS EKS: delega i permessi IAM tramite IRSA
    eks.amazonaws.com/role-arn: "arn:aws:iam::123456789:role/ApiServerRole"
automountServiceAccountToken: false  # non montare il token automaticamente
---
# Deployment che usa la ServiceAccount
apiVersion: apps/v1
kind: Deployment
metadata:
  name: api-server
  namespace: production
spec:
  template:
    spec:
      serviceAccountName: api-server-sa
      automountServiceAccountToken: false  # ridondante ma esplicito
      containers:
        - name: api-server
          image: my-registry/api-server:1.2.0
---
# Se il Pod deve chiamare l'API K8s, usa un token proiettato con scadenza
# invece del token auto-mounted (che non scade mai)
apiVersion: v1
kind: Pod
spec:
  serviceAccountName: api-server-sa
  volumes:
    - name: api-token
      projected:
        sources:
          - serviceAccountToken:
              path: token
              expirationSeconds: 3600  # scade ogni ora
              audience: kubernetes.default.svc
  containers:
    - name: api-server
      volumeMounts:
        - name: api-token
          mountPath: /var/run/secrets/kubernetes.io/serviceaccount
          readOnly: true

Pod Güvenlik Standartları (PSS)

Pod Güvenlik Standartları, kullanımdan kaldırılan PodSecurityPolicies'in yerini alır (K8s 1.25'te kaldırılmıştır). Etiketler aracılığıyla ad alanı düzeyinde geçerli olan üç güvenlik düzeyini tanımlarlar:

Ayrıcalıklı: kısıtlama yok (yalnızca kube-system gibi sistem ad alanları için)
Temel çizgiler: En bilinen ve riskli yapılandırmaları engeller (ayrıcalıklı konteynerler, hostPath, hostNetwork)
Sınırlı: Maksimum güvenlik için mevcut en iyi uygulamalar (root dışı, ikincil bilgi, yetenek düşüşü)

Her seviyenin üç modu vardır: enforce (Pod'u engeller), audit (günlüğe kaydeder ancak engellemez), warn (kullanıcıya bir uyarı gösterir).

Pod Güvenlik Standartlarını Ad Alanlarına Uygulayın

# Applica PSS al namespace tramite label
kubectl label namespace production \
  pod-security.kubernetes.io/enforce=restricted \
  pod-security.kubernetes.io/enforce-version=latest \
  pod-security.kubernetes.io/audit=restricted \
  pod-security.kubernetes.io/audit-version=latest \
  pod-security.kubernetes.io/warn=restricted \
  pod-security.kubernetes.io/warn-version=latest

# Per namespace di sistema che richiedono pod privilegiati
kubectl label namespace kube-system \
  pod-security.kubernetes.io/enforce=privileged

# Testa cosa succederebbe se applicassi restricted a un namespace esistente
kubectl label --dry-run=server --overwrite namespace production \
  pod-security.kubernetes.io/enforce=restricted

Kısıtlı Seviyeyle Uyumlu Kapsül

# pod-restricted-compliant.yaml
# Un Pod che rispetta tutte le regole del livello Restricted
apiVersion: v1
kind: Pod
metadata:
  name: secure-pod
  namespace: production
spec:
  securityContext:
    runAsNonRoot: true          # non girare come root
    runAsUser: 1000             # UID non-root
    runAsGroup: 3000
    fsGroup: 2000
    seccompProfile:
      type: RuntimeDefault      # profilo seccomp di default
    supplementalGroups: [1000]
  containers:
    - name: app
      image: my-registry/api-server:1.2.0
      securityContext:
        allowPrivilegeEscalation: false  # fondamentale: previene sudo
        readOnlyRootFilesystem: true     # filesystem immutabile
        capabilities:
          drop:
            - ALL                # rimuovi tutte le Linux capabilities
          # add: [] - non aggiungere nessuna capability
        runAsNonRoot: true
        seccompProfile:
          type: RuntimeDefault
      resources:
        requests:
          cpu: "100m"
          memory: "128Mi"
        limits:
          cpu: "500m"
          memory: "512Mi"
      volumeMounts:
        - name: tmp
          mountPath: /tmp      # se l'app scrive su /tmp, monta un volume
        - name: cache
          mountPath: /app/cache
  volumes:
    - name: tmp
      emptyDir: {}
    - name: cache
      emptyDir: {}
  automountServiceAccountToken: false

OPA Gatekeeper: Kubernetes için Politika Motoru

Pod Güvenlik Standartları sabit bir dizi kontrolü kapsar. OPA Ağ Geçidi Bekçisi izin verir kullanarak özel politikaları tanımlamak için RegoOPA'nın dili. API sunucusuna yapılan her isteği engelleyen bir Giriş Web Kancası olarak uygulanır. ve tanımlanmış politikalara göre geçerlidir.

OPA Ağ Geçidi Yöneticisi kurulumu

# Installa Gatekeeper con Helm
helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts
helm repo update

helm install gatekeeper gatekeeper/gatekeeper \
  --namespace gatekeeper-system \
  --create-namespace \
  --version 3.17.0 \
  --set auditInterval=30 \
  --set constraintViolationsLimit=100 \
  --set logLevel=INFO

# Verifica installazione
kubectl get pods -n gatekeeper-system

ConstraintTemplate: Yalnızca Onaylı Tescilden Alınan Görüntüler

# constraint-template-registry.yaml
# Il template definisce lo schema e la logica in Rego
apiVersion: templates.gatekeeper.sh/v1
kind: ConstraintTemplate
metadata:
  name: k8sallowedrepos
  annotations:
    description: "Richiede che le immagini provengano solo da registry approvati"
spec:
  crd:
    spec:
      names:
        kind: K8sAllowedRepos
      validation:
        openAPIV3Schema:
          type: object
          properties:
            repos:
              type: array
              items:
                type: string
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8sallowedrepos

        violation[{"msg": msg}] {
          container := input.review.object.spec.containers[_]
          not starts_with_allowed(container.image)
          msg := sprintf("Il container '%v' usa l'immagine '%v' che non proviene da un registry approvato", [container.name, container.image])
        }

        violation[{"msg": msg}] {
          container := input.review.object.spec.initContainers[_]
          not starts_with_allowed(container.image)
          msg := sprintf("L'initContainer '%v' usa l'immagine '%v' non approvata", [container.name, container.image])
        }

        starts_with_allowed(image) {
          repo := input.parameters.repos[_]
          startswith(image, repo)
        }
---
# Constraint: applica la policy con i parametri specifici
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sAllowedRepos
metadata:
  name: require-approved-registry
spec:
  enforcementAction: deny  # deny|warn|dryrun
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Pod"]
    excludedNamespaces:
      - kube-system
      - gatekeeper-system
      - monitoring
  parameters:
    repos:
      - "registry.company.internal/"
      - "gcr.io/company-project/"
      - "public.ecr.aws/company/"

ConstraintTemplate: Zorunlu Kaynak Sınırları

# constraint-template-resource-limits.yaml
apiVersion: templates.gatekeeper.sh/v1
kind: ConstraintTemplate
metadata:
  name: k8srequiredresources
spec:
  crd:
    spec:
      names:
        kind: K8sRequiredResources
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8srequiredresources

        violation[{"msg": msg}] {
          container := input.review.object.spec.containers[_]
          not container.resources.limits.cpu
          msg := sprintf("Container '%v': cpu limit obbligatorio ma mancante", [container.name])
        }

        violation[{"msg": msg}] {
          container := input.review.object.spec.containers[_]
          not container.resources.limits.memory
          msg := sprintf("Container '%v': memory limit obbligatorio ma mancante", [container.name])
        }

        violation[{"msg": msg}] {
          container := input.review.object.spec.containers[_]
          not container.resources.requests.cpu
          msg := sprintf("Container '%v': cpu request obbligatoria ma mancante", [container.name])
        }
---
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sRequiredResources
metadata:
  name: require-resource-limits
spec:
  enforcementAction: deny
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Pod"]
    excludedNamespaces:
      - kube-system
      - gatekeeper-system

ConstraintTemplate: Konteyner Kökü Yok

# constraint-template-no-root.yaml
apiVersion: templates.gatekeeper.sh/v1
kind: ConstraintTemplate
metadata:
  name: k8spsphostnamespace
spec:
  crd:
    spec:
      names:
        kind: K8sPSPHostNamespace
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8spsphostnamespace

        violation[{"msg": msg}] {
          input.review.object.spec.hostPID == true
          msg := "hostPID non e consentito"
        }

        violation[{"msg": msg}] {
          input.review.object.spec.hostIPC == true
          msg := "hostIPC non e consentito"
        }

        violation[{"msg": msg}] {
          input.review.object.spec.hostNetwork == true
          not input.review.object.metadata.annotations["policy.company.internal/exempt-hostnetwork"]
          msg := "hostNetwork non e consentito senza annotation di esenzione"
        }

# Verifica violazioni esistenti nel cluster
kubectl get constraints
kubectl describe k8srequiredresources require-resource-limits
# Nella sezione Status.Violations vedrai tutti i Pod non conformi

Denetim Günlüğü

Kubernetes, API sunucusuna yapılan her isteği yapılandırılmış bir denetim günlüğüne kaydedebilir. Uyumluluk ve olay soruşturması için gereklidir.

# audit-policy.yaml - configurazione dell'audit log
apiVersion: audit.k8s.io/v1
kind: Policy
rules:
  # Registra tutto sui Secrets a livello RequestResponse (incluso il contenuto)
  - level: RequestResponse
    resources:
      - group: ""
        resources: ["secrets"]

  # Registra le modifiche a RBAC
  - level: RequestResponse
    resources:
      - group: "rbac.authorization.k8s.io"
        resources: ["roles", "clusterroles", "rolebindings", "clusterrolebindings"]

  # Registra exec nei Pod (potenziale accesso malevolo)
  - level: Request
    resources:
      - group: ""
        resources: ["pods/exec", "pods/portforward", "pods/proxy"]

  # Per tutto il resto: registra solo i metadata (chi ha fatto cosa, quando)
  - level: Metadata
    omitStages:
      - RequestReceived

# Kube-apiserver config (aggiungi all'avvio di kube-apiserver):
# --audit-log-path=/var/log/kubernetes/audit.log
# --audit-log-maxage=30
# --audit-log-maxbackup=10
# --audit-log-maxsize=100
# --audit-policy-file=/etc/kubernetes/audit-policy.yaml

Kubernetes'i Güçlendirme Kontrol Listesi

Güvenlik Güçlendirme Kontrol Listesi

RBAC: Her ServiceAccount ve kullanıcı grubu için en az ayrıcalık ilkesi
Hizmet Hesabı: automountServiceAccountToken: false sunucu API'sini çağırmayan tüm Pod'larda
Jeton geçerlilik süresi: ile yansıtılan jetonları kullanın expirationSeconds kalıcı jetonlar yerine
Pod Güvenlik Standartları: restricted tüm üretim ad alanlarında, baseline sahnelemede
Kök yok: runAsNonRoot: true e allowPrivilegeEscalation: false tüm kaplarda
Değişmez dosya sistemi: readOnlyRootFilesystem: true + /tmp ve /cache için hacim boşDir
Kaynak sınırları: Tüm kapsayıcılarda CPU ve bellek sınırları (uygulama için Gatekeeper)
Onaylanan kayıtlar: Yetkisiz kayıtlardan gelen görüntüleri engelleyen ağ geçidi denetleyicisi kısıtlaması
Ağ Politikası: tüm üretim ad alanlarında varsayılan reddetme (bkz. Madde 1)
Sırlar: Gizli Kubernetes düzlüğü yerine harici gizli yönetici (AWS Secrets Manager, Vault) kullanın
Denetim günlükleri: bir SIEM veya günlük toplayıcıda etkinleştirilir ve merkezileştirilir
vb: şifreleme yapılandırmasıyla hareketsiz durumda şifrelenmiş
Sunucu API'leri: anonim erişim devre dışı bırakıldı, giriş denetleyicileri etkinleştirildi

Yaygın Güvenlik Hataları

İş yükleri için varsayılan ad alanı: varsayılan ad alanı varsayılan olarak izin veren RBAC'ye sahiptir; İş yükleriniz için her zaman özel ad alanları kullanın
CI/CD işlem hatları için ClusterAdmin: GitOps ardışık düzenlerinin küme yöneticisine ihtiyacı yoktur; Hedef ad alanı için gereken minimum izinlere sahip bir ServiceAccount oluşturun
Ortam değişkenleri olarak sır: ortam değişkenleri görülebilir kubectl describe pod ve günlüklerde; Secret'lar veya harici gizli dizi yöneticileri tarafından oluşturulan dosyaları kullanın
Resimlerdeki en son etiketler: en son etiket değişebilir; Tekrarlanabilirliği ve güvenliği sağlamak için her zaman SHA256 özetini veya değişmez etiketleri kullanın
Temel görüntü CVE'lerini yoksay: Trivy, Snyk veya Grype ile görüntüleri düzenli olarak tarayın; Kritik CVE'lere sahip bir Ubuntu temel görüntüsü, küme sağlamlaştırma çalışmasını iptal eder

Sonuçlar ve Sonraki Adımlar

Kubernetes kümesinin güvenliği katmanlı bir süreçtir: RBAC erişimi kontrol eder API'ye eklenen Pod Güvenlik Standartları, Pod düzeyinde riskli yapılandırmaları önler, ve OPA Gatekeeper, şirket politikalarını sürümlendirilmiş kod olarak kodlamanıza olanak tanır ve denetlenebilir. Bu araçların hiçbiri tek başına yeterli değildir; birlikte bir tane oluştururlar Saldırı yüzeyini büyük ölçüde azaltan derinlemesine savunma.

Güvenliği daha da güçlendirmek ve bir sistem uygulamak için bir sonraki adım Konteyner sistemi çağrılarını gerçek zamanlı olarak izleyen Falco gibi çalışma zamanı güvenlik araçları ve anormal davranış konusunda uyarı (üretim sırasında bir kapta açılan kabuk, okuma kimlik bilgisi dosyaları, beklenmeyen ağ bağlantıları).

Kubernetes at Scale Serisinde Yaklaşan Makaleler

Önceki Makaleler

İlgili Seriler

DevSecOps — kod olarak politika, CI/CD işlem hatlarında güvenlik taraması
Kubernetes Ağı — İş yüklerini yalıtmaya yönelik Ağ Politikası
Platform Mühendisliği — ekipler için otomatik korkuluklar gibi güvenlik