Kubernetes安全保障：从容器构建到集群管理

### Kubernetes安全保障：从更新管理到容器安全 #### 1. 构建Java容器示例 首先来看一个构建Java容器的示例，这里使用了distroless项目的方法： ```dockerfile FROM openjdk:11-jdk-slim-bullseye AS build-env COPY . /app/examples WORKDIR /app RUN javac examples/*.java RUN jar cfe main.jar examples.HelloJava examples/*.class FROM gcr.io/distroless/java11-debian11 COPY --from=build-env /app /app WORKDIR /app CMD ["main.jar"] ``` 在这个示例中，第一步使用常规的OpenJDK镜像来构建代码，第二步引用Google提供的distroless镜像来运行代码。 #### 2. 处理更新时的中断问题 在进行更新操作时，运行中的工作负载会受到影响，Pod会被删除并重新创建。不过，Kubernetes提供了多种方法来减少这种中断。 - **就绪检查（READINESS CHECKS）**：这是非常关键的一步。Kubernetes依赖容器报告其是否就绪，如果没有设置就绪检查，Kubernetes会在进程开始运行时就认为容器已就绪，但此时应用可能还未完成初始化，无法处理生产流量。因此，需要设置就绪检查以避免请求因访问未就绪的Pod而出错。 - **信号处理与优雅终止（SIGNAL HANDLING AND GRACEFUL TERMINATION）**：就绪检查用于确定应用何时可以启动，而优雅终止则用于让Kubernetes知道应用何时可以停止。对于可能需要较长时间才能完成的Job，应避免直接终止进程。为了防止问题发生，需要在应用代码中处理SIGTERM事件以启动关闭过程，并设置足够长的优雅终止窗口（通过`terminationGracePeriodSeconds`配置）。例如，Web应用应在所有当前请求完成后处理SIGTERM以关闭服务器，批处理作业应完成正在进行的工作，不再启动新任务。 - **滚动更新（ROLLING UPDATES）**：当更新Deployment或StatefulSet中的容器时，建议使用滚动更新策略。这种策略通过分批更新Pod，同时保持应用的可用性，从而最大程度地减少更新工作负载时的中断。对于Deployments，要配置`maxSurge`参数，通过临时增加Pod副本数进行滚动更新，这样比减少副本数更能保证可用性。 - **Pod中断预算（POD DISRUPTION BUDGETS）**：当节点更新时，其过程与Deployment的更新不同。首先，节点会被隔离以防止新Pod部署到该节点，然后进行排水操作，即删除该节点上的Pod并在其他节点上重新创建。默认情况下，Kubernetes会一次性删除节点上的所有Pod，这可能导致应用不可用。Pod中断预算（PDB）可以解决这个问题，它允许你告知Kubernetes在工作负载仍能按设计运行的情况下，允许多少个或百分之多少的Pod不可用。示例配置如下： ```yaml apiVersion: policy/v1 kind: PodDisruptionBudget metadata: name: timeserver-pdb spec: maxUnavailable: 1 selector: matchLabels: pod: timeserver-pod ``` 部署这个PDB到集群中，可以确保在中断期间任何时候都不会有超过一个Pod不可用。 下面是处理中断问题的流程图： ```mermaid graph LR A[更新开始] --> B{是否有就绪检查} B -- 否 --> C[设置就绪检查] B -- 是 --> D{是否有信号处理和优雅终止配置} D -- 否 --> E[配置信号处理和优雅终止] D -- 是 --> F{是否使用滚动更新策略} F -- 否 --> G[配置滚动更新策略] F -- 是 --> H{是否有PDB配置} H -- 否 --> I[配置PDB] H -- 是 --> J[更新完成] C --> D E --> F G --> H ``` #### 3. 使用DaemonSet部署节点代理 DaemonSet是一种工作负载类型，它允许在每个节点上运行一个Pod。通常用于集群操作，如日志记录、监控和安全等方面。典型的集群中，`kube-system`命名空间下会运行一些DaemonSet，例如： | NAMESPACE | NAME | | ---- | ---- | | kube-system | filestore-node | | kube-system | fluentbit-gke | | kube-system | gke-metadata-server | | kube-system | gke-metrics-agent | | kube-system | kube-proxy | | kube-system | metadata-proxy-v0.1 | | kube-system | netd | | kube-system | node-local-dns | | kube-system | pdcsi-node | 下面是一个简单的DaemonSet示例，用于从节点读取日志并输出到标准输出： ```yaml apiVersion: apps/v1 kind: DaemonSet metadata: name: logreader spec: selector: matchLabels: pod: logreader-pod template: metada ```