解決方案：CipherTrust Transparent Encryption for Kubernetes CipherTrust Transparent Encryption for Kubernetes 提供用於加密、存取控制和資料存取日誌記錄的容器內核 功能，使企業能夠對Kubernetes 環境中的資料建立堅實 穩固的防護。 透過 CipherTrust Transparent Encrypton 的擴 Transparent Encryption 的這 項擴充，解決了保護機敏資料的合規要求與法規命令， 例如支付卡、健康照護紀錄或者其他機敏資產。 • 防止受到特權用戶的威脅 - 該解決方案提供資料存取控 制的加密，讓特權用戶如 Docker 或 OpenShift等群組 管理員，能夠像一般用戶執行操作，不會獲得未經授權 的機敏資料存取。 • 實現強大的安全性 - 無論容器在資料中心、虛擬環 境、甚至是雲端 Transparent Encryption，讓資安團隊得以在容器內建 立資安控制。憑藉這項擴充，您能按照每個容器的狀態 一一施行加密、存取控制以及資料存取紀錄。加密可以 應用在容器端本地產生並儲存的資料，以及藉由網路檔 案系統搭載在容器內的資料。 • 可擴充的透明加密 - 無需對應用程式、容器或基礎 架構進行任何變更下，提供資料安全控制。允許對 Kubernetes叢集內的所有容器施行單一政策，或是對

憑證，獲得用戶端憑證公開金鑰，並用該公開金鑰認證憑證資訊，並確認用戶 端是否合法。 (5) 用戶端透過隨機金鑰加密資訊，並發送加密後的資訊給服務端。伺服器端和用 戶端協商好加密方案後，用戶端會產生一個隨機的金鑰，用戶端透過協商好的 加密方案，加密這隨機金鑰，並發送隨機金鑰到伺服器端。 伺服器端接收這 個金鑰後，雙方通訊的所有內容都透過隨機金鑰加密。 通訊（隨機私鑰） 身分認證（憑證） 客戶端 伺服器端 身分認證（憑證）

reserved. Amazon Confidential 责任共担模型（续） 用户 IAM 用户数据 平台及应用管理 操作系统, 网络以及网络配置 客户端数据加密 及 数据完整性验证 服务端加密 文件系统和数据 网络流量保护 加密/完整性/身份管理 AWS 端点 基础服务 AWS全球基础架构 AWS IAM 计算 存储 数据库 网络 区域 可用区 边缘节点 由AWS用户管理 HOST AWS IAM 容器 升级 加固 监控 WORKER NODE 配置 升级 加固 监控 NETWORK 配置 VPC 网络策略 路由表 NACLs 数据 网络流量保护 客户端加密 服务端加密 EKS CONTROL PLANE CONTROL PLANE 配置 PRIVATE CONTROL RBAC 策略 © 2019, Amazon Web Services, Inc.

的承载令牌注⼊到该Pod中。 kubernetes 服务（在所有namespace中）配置了⼀个虚拟IP地址（通过kube-proxy）重 定向到apiserver上的HTTPS端点。 Master组件通过不安全（未加密或验证）端⼝与集群apiserver通信。该端⼝通常仅在Master机器上的localhost接⼝上公 开，以便所有运⾏在同⼀台机器上的Master组件可与集群的apiserver进⾏通信。 随着时间的推移，Master组件将被迁 从apiserver到Node、Pod或Service的连接默认为纯HTTP连接，因此不会被认证或加密。可通过将 https: 前缀添加到 到API URL中的Node、Pod、Service名称，从⽽运⾏安全的HTTPS连接，但不会验证HTTPS端点提供的证书，也不会 提供客户端凭据——因此，尽管连接将被加密，它不会提供任何诚信保证。这些连接在不受信任/公共⽹络上运⾏并不 安全。 SSH隧道 s中的所有Host都⽆ 法与请求头中的Host匹配，或者，没有path与请求的URL匹配，则流量将路由到您的默认backend。 TLS 您可以通过指定包含TLS私钥和证书的 secret 来加密Ingress。⽬前，Ingress仅⽀持单个TLS端⼝443，并假定TLS termination（TLS终⽌）。如果Ingress中的TLS配置部分指定了不同的host，那么它们将根据通过SNI

性，此外也會針對最近的5個Kubernetes版本提供安全性修補，作為擴展安全性維 護計畫(ESM)的一部分。與K8s RBAC, Active Directory及LDAP整合、預設CIS強化、 靜態加密以及無需停機的自動安全性更新可確保使用者獲得高度安全的 Kubernetes 部署。企業也能利用Ubuntu livepatching保護主機作業系統，無需停機，可於系統 執行期間修補 Linux 可協助組織自動化容器建構流 程，確保各個部署之間的一致性及安全性。Red Hat Quay也可搭配使用Clair以掃描整 合的容器登錄檔，並向開發人員通知任何偵測到的漏洞。OpenShift預設具備強大的 加密功能、Kubernetes強化、身分管理及RBAC，而使用者可透過一系列獲得認證的 第三方工具，進一步提升安全性。 Rancher也支援K8 RBAC及遵循CIS Kubernetes基準的最佳實務，此外還提供強大文件，

關閉公開存取 (Disable public access)  實施角色型存取權控管 (Implement role-based access control)  將 Kubernetes密鑰加密 (Encrypt secrets at rest)  設置 Kubernetes 的許可控制器 (Configure admission controllers)  實施 Kubernetes

Recovery & High Availability Failover/Switchover、多可用区、数据恢复等等。 Security & Compliance 访问控制、审计、安全链接、加密存储等等。 Patching & Upgrades 小版本升级、大版本升级、安全漏洞修复等等。 Data Migrations 迁移、同步、清洗、跨地域、灾备、多活等等。 DB Operator