1. 비밀을 얻고, 해독하고 파일에 저장합니다.
k는 비밀 아담을 얻습니다 -n safe -o yaml
2. --from-literal을 사용하여 새로운 비밀을 만듭니다.
[desk@cli] $k 비밀 일반 뉴스크릿 생성 -n safe --from-literal=사용자 이름=dbadmin --from-literal=비밀번호=moresecurepass
3. mysecret-pod의 db-container 볼륨으로 마운트합니다.
설명


[desk@cli] $k create secret generic newsecret -n safe --from-literal=username=dbadmin --from-literal=password=moresecurepass secret/newsecret 생성됨
[desk@cli] $vim /home/certs_masters/secret-pod.yaml
api 버전: v1
종류: 포드
메타데이터:
이름: mysecret-pod
네임스페이스: 안전
라벨:
실행: mysecret-pod
투기:
컨테이너:
- 이름: db-container
이미지: 레디스
볼륨마운트:
- 이름: 비밀-권
mountPath: /etc/mysecret
읽기 전용: 참
볼륨:
- 이름: 비밀-권
비밀:
secretName: newsecret
[desk@cli] $ k 적용 -f /home/certs_masters/secret-pod.yaml
pod/mysecret-pod가 생성되었습니다.
[desk@cli] $ k exec -it mysecret-pod -n safe - cat /etc/mysecret/username dbadmin

[desk@cli] $ k exec -it mysecret-pod -n safe - cat /etc/mysecret/password moresecurepas

해결책(단계별) :
1. 'sensitive-app' 네임스페이스에 서비스 계정을 만듭니다.
- 'sensitive-app' 네임스페이스에 'sensitive-app-sa'라는 서비스 계정이 있는지 확인합니다.
2. 'shared-resources' 네임스페이스에 역할을 만듭니다.
- '공유 리소스' 네임스페이스에서 '공유 비밀 리더'라는 이름의 사용자 지정 역할을 만듭니다.
- 이 역할은 '공유 비밀' 비밀에 대한 읽기 액세스 권한만 부여합니다.

3. 'snared-resources' 네임스페이스에 ROIeBinding을 만듭니다. - 'shared-resources' 네임스페이스에서 'sensitive-app-sa-binding'이라는 역할 바인딩을 만듭니다. - 이 역할 바인딩은 'sensitive-app' 네임스페이스의 'sensitive-app-sa' 서비스 계정을 'shared-secret-reader' 역할과 연결합니다.

4. 애플리케이션 배포를 업데이트합니다. - 'sensitive-app' 네임스페이스의 애플리케이션 배포가 'sensitive-app-sa' 서비스 계정을 사용하도록 구성되어 있는지 확인합니다.

해결책(단계별) :
1. TLS/SSL 암호화 구성:
- 인증서 생성: 신뢰할 수 있는 인증 기관(CA)에서 TLS/SSL 인증서를 얻거나 개발 목적으로 자체 서명 인증서를 사용합니다.
- 데이터베이스 서버에 인증서 설치: 데이터베이스 서버에 인증서를 설치하여 데이터베이스 서비스에서 사용할 수 있도록 합니다.
- 데이터베이스 서비스 구성: TLS/SSL을 통한 연결만 허용하도록 데이터베이스 서비스를 구성합니다.
- 애플리케이션 컨테이너 구성:
- 인증서 마운트: TLS/SSL 인증서를 비밀로 애플리케이션 컨테이너에 마운트합니다.
- 애플리케이션 코드 구성: 데이터베이스에 연결할 때 인증서를 사용하도록 애플리케이션 코드를 업데이트합니다.
2. 신원 기반 인증 구현:
- 데이터베이스 사용자 생성: 웹 애플리케이션에 대한 전담 데이터베이스 사용자를 생성합니다.
- 권한 부여: 데이터베이스 사용자에게 적절한 권한을 부여하여 필요한 테이블과 데이터에 대한 액세스를 제한합니다.
- 인증 플러그인 사용: ID 기반 인증을 지원하는 인증 플러그인을 사용하도록 데이터베이스 서비스를 구성합니다.
- 데이터베이스 자격 증명 생성: 애플리케이션에 대한 데이터베이스 자격 증명(사용자 이름 및 비밀번호)을 생성합니다.
- 자격 증명을 비밀리에 저장: 데이터베이스 자격 증명을 Kubernetes 비밀로 안전하게 저장합니다.
- 애플리케이션에서 자격 증명에 액세스: 비밀에서 데이터베이스 자격 증명에 액세스하도록 애플리케이션을 구성합니다.
3. 애플리케이션을 데이터베이스에 연결:
- 연결 문자열 구성: TLS/SSL 및 데이터베이스 사용자 자격 증명을 사용하도록 애플리케이션의 연결 문자열을 업데이트합니다.
- 연결 문자열 예:
jdbc:postgresql://데이터베이스 호스트:5432/데이터베이스 이름?ssl=true&sslmode=require&user=앱 사용자&비밀번호=앱 비밀번호
4. 보안 고려 사항:
- 인증서 검증: 중간자 공격을 방지하기 위해 애플리케이션에서 인증서의 유효성을 검사합니다.
- 안전한 자격 증명 관리: 비밀로 저장된 데이터베이스 자격 증명을 보호하기 위해 강력한 보안 조치를 구현합니다.
- 접근 제어: 데이터베이스에 대한 접근을 승인된 사용자와 애플리케이션으로만 제한합니다.
- 네트워크 격리 네트워크 정책을 사용하여 웹 애플리케이션을 다른 작업 부하로부터 격리하고 불필요한 네트워크 트래픽을 제한하는 것을 고려하세요.

솔루션(단계별):
1. 취약성 검사 도구 선택: Trivy, Anchore, Clair와 같은 다양한 오픈 소스 및 상용 도구가 있습니다.
2. 클러스터에 스캐닝 도구 배포: 도구를 DaemonSet으로 배포하여 모든 노드에서 실행하거나 전용 스캐닝 서비스를 사용하여 수행할 수 있습니다.

3. 클러스터의 모든 컨테이너 이미지를 스캔하도록 스캐닝 도구를 구성합니다. 컨테이너 레지스트리의 이미지를 스캔하도록 도구를 구성하거나 배포되는 대로 이미지를 스캔하여 이 작업을 수행할 수 있습니다.

4. CI/CD 파이프라인과 스캐닝 도구를 통합합니다. 이렇게 하면 클러스터에 배포되기 전에 이미지를 스캔할 수 있습니다.

5. 스캐닝 도구에서 식별된 모든 취약점을 검토하고 해결합니다. 스캐닝 도구의 출력을 분석하고 식별된 취약점을 수정하기 위한 적절한 조치를 취합니다.

해결책(단계별) :
1. 취약한 라이브러리 식별:
- 취약점이 있는 특정 타사 라이브러리를 확인합니다.
2. 사이드카 컨테이너에서 라이브러리 패치:
- 취약한 라이브러리의 패치된 버전만 포함하는 새로운 컨테이너 이미지를 만듭니다.
- 패치된 라이브러리 컨테이너를 실행하는 사이드카 컨테이너를 배포 YAML에 추가합니다.
- 사이드카 컨테이너가 메인 애플리케이션 컨테이너와 함께 실행되도록 구성되었는지 확인하세요.

3. 배포 업데이트 - 업데이트된 배포 YAML을 Kubernetes 클러스터에 적용합니다. - 사이드카 컨테이너는 기본 애플리케이션 컨테이너와 함께 배포되어 전체 애플리케이션 이미지를 다시 빌드하지 않고도 취약점을 효과적으로 패치합니다.