Kubernetes / المتقدم: التوسع والمرونة ودورة الحياة / الدرس 15

أمن الأحمال وتعدد المستأجرين

اجمع الإذن والقبول وقيود التشغيل والشبكة والملكية بنموذج تهديد مستأجر صريح.

وقت القراءة التقريبي: 3 دقيقةتاريخ مراجعة المحتوى 2026-10-25

في هذه الصفحة

أهداف الدرس

اشرح النموذج والافتراضات والحدود المتعلقة بموضوع «أمن الأحمال وتعدد المستأجرين».
فسر المثالين وميز النية المعلنة من الدليل المثبت.
شخص الإخفاقات وعلل قرارات الاستعادة المشروحة دون تنفيذ عمليات عنقود.

تحديد الثقة قبل الضوابط

قد يكون المستأجر فريقا موثوقا أوطرفا معاديا ولكل حدود. لا يعزل النطاق النواة والشبكة والاعتماد والمديرين. راجع العقد والتحكم؛ وقد يلزم تشغيل معزول أوعقد أوعنقود مستقل بضمان متحقق. لا يكفي إعداد واحد. حدد إنشاء الحمل والهوية وتسميات السياسة والتخزين والفحص وطرق الامتياز غير المباشر.

استخدام القبول كسياسة مفروضة

يقيم القبول معايير مسماة بتسميات وإصدار. يثبت المثال إصدار سياسة لا اتباع كل جديد. تختلف enforce وaudit وwarn، ولا يمنع التحذير الإنشاء. قد يرفض restricted حملا يحتاج تصميما أواستثناء ضيقا. احم تغيير التسميات والاستثناءات. لا يثبت القبول سلامة الصورة أوتصحيحها أوعدم كشف التطبيق للبيانات.

yaml تسميات قبول مرقمة توضيحية

apiVersion: v1
kind: Namespace
metadata:
  name: training-restricted
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: v1.35
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/audit-version: v1.35

يلزم دعم الإصدار وقد يرفض الكائن أحمالا إذا طبق؛ فيبقى غير منفذ والإصدار افتراض مراجعة لا تثبيتا دائما.

تقييد قدرات الحاوية بوعي

يطلب المقطع غير الجذر ومنع التصعيد وإسقاط القدرات وجذرا للقراءة وseccomp الافتراضي. لكل افتراض وقد يلزم حجم محدود للكتابة. تقلل الضوابط مخاطر ولا تصنع عزلا كاملا. تجنب الامتياز وتركيب المضيف ونطاقاته دون حاجة مراجعة. قد تقرأ هوية غير الجذر اعتمادات أوتستخدم شبكة؛ فطابق الملفات والتشغيل وثقة العقدة والهوية بالعقد.

yaml مقطع أمن حاوية Linux توضيحي

securityContext:
  runAsNonRoot: true
  allowPrivilegeEscalation: false
  readOnlyRootFilesystem: true
  capabilities:
    drop: [ALL]
  seccompProfile:
    type: RuntimeDefault

يحتاج صورة وهوية ومسارات كتابة وتشغيلا متوافقا؛ وليس Pod كاملة أوإثبات عزل.

حماية التوريد والاعتماد

استخدم هويات حزم ثابتة ومراجعة وسجلات موثوقة واستجابة ومصدر حيث تتطلب السياسة. يحتاج التوقيع هوية ومصدرا متوقعين لا أي مفتاح. قيد السر والهوية ولا تحفظ القيم بالمصدر والطبقات والتسميات والقياس. يلزم إنفاذ الشبكة ولا تستبدل الإذن. التدقيق والتشخيص حساس أيضا، واجعل الطوارئ مؤقتة مسؤولة لا امتيازا دائما.

التحقق من الافتراضات عبر الحد كله

راجع السماح والمنع للهويات والإنشاء والتركيب والشبكة والإدارة. تختبر القوة في عزلة مصرح بها ولا تفعل الدورة. لا تطبق البيانات، وراجع العزل بعد الترقية والإضافات والتكامل والأذونات. الأمن اتفاق مستمر؛ والسؤال ما التهديد والافتراض والكشف لا مجرد إنشاء نطاق أوقائمة.

الأخطاء الشائعة وإصلاحها

تُعد restricted عزلا كاملا

لماذا يحدث؟: اختلط القبول بكل ضمان التشغيل.
كيف تصلحه؟: راجع الإذن والهوية والتشغيل والعقد والشبكة.
كيف تتجنب تكراره؟: احفظ تهديدا ودليل إنفاذ.

يكسر الجذر المقروء البدء

لماذا يحدث؟: لم تحدد الكتابة اللازمة.
كيف تصلحه؟: وفر تخزينا محدودا أوأعد التصميم.
كيف تتجنب تكراره؟: اختبر الصورة بسياقها المقصود.

يغير مستأجر تسميات إنفاذه

لماذا يحدث؟: تجاوزت سلطة السياسة الحد.
كيف تصلحه؟: قيد الملكية وراجع الاستثناء.
كيف تتجنب تكراره؟: دقق السلطة غير المباشرة.

اختبر فهمك

1. هل يمنع غير الجذر قراءة رمز مركب؟

اعرض الحل المشروح

ليس بالضرورة؛ فقد تسمح الملفات والتركـيب للهوية. راجع الحاجة والنطاق والتركيب. يقلل غير الجذر مخاطر محددة ولا يمثل سياسة بيانات كاملة.

2. يطبع وضع warn مخالفة. هل منع الإنشاء؟