developers IT Operator IaaS Management Internet User Application User Trust Boundary Trust Boundary Trust Boundary Trust Boundary ©2019 VMware, Inc. PKS把原生K8s欠缺的帳號/存取權限/API呼叫/密碼保護補好補滿

v=B16YTeSs1hI HashiCorp Vault KMS plugin for Kubernetes ● Secrets are in etcd, with root of trust in Vault Kubernetes auth backend for HashiCorp Vault ● Authenticate to Vault using a K8s service Use envelope encryption to separate key management from secret management, and maintain a root of trust ● In Kubernetes, protect secrets using either the KMS plugin or if you already have one, use an

kubeconfig in the clear in memory • KEK in the clear in memory ü leak ALL DEKs ü leak ALL secrets ü trust collapse! • DEK decryption interfaces invoked by fake users Motivation: K8s Secrets Protection

Platform 的核心，包括 CipherTrust 透明加密，可集中管 理平台上所有產品模組的金鑰、安全策略以及日誌管理。 具有虛擬化和實體版本，可用於儲存具有信任根 (root of trust) 的主金鑰。這些設備可以被部署在企業內部，也可 以部署在私有或公有雲端基礎架構。 關於 Thales 雲端保護與授權 任何企業都信賴 Thales 來保護他們資料的隱私權。在資料 安全方面，企業面臨著越來越多的決定性時刻。

containers share a kernel (mitigation: Firecracker) • gotchas: unnecessary privileged users, no scans, trust • code analysis • source available? • gotchas: big surface, many languages { } } • sanitizing

书库里 # cat ca.com.crt >> /etc/pki/tls/certs/ca-bundle.crt #将ca证书添加到centos系统证书信任列表中，链接到： /etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem ②安装k8s二进制组件 #使用aliyun的源（如果用的是RHEL8系列的系统，也是用的el7的仓库源，因为 k8s组

serverless ? What is serverless ? Serverless＝ Backend as a Service Functions as a Service • Zero server ops – No provisioning, updating, and managing server infrastructure. – Flexible Scalability

Provider 虚拟节点 • 无限弹性，敏捷扩容 • 支持pod之间互联互通 无需管理服务器 Without managing servers 用户只需关注容器应用 • Zero server ops • Focus on application • 容量规划：节点数量选择和扩容 • 规格实例选择、配置安全组 • 配置复杂的管理工具 • 配置网络

d能够在 Node上运⾏，Node必须将每个指定的键值对作为标签（也可有其他标签）。最常⻅的⽤法是使⽤⼀个键值对。 下⾯，我们来来看⼀下如何使⽤ nodeSelector 。 Step Zero: Prerequisites（先决条件） 这个例⼦假设你对Kubernetes Pod有⼀个基本的了解，并已经 turned up a Kubernetes cluster 。 Step One: