목록Kubernetes/보안 (15)

Kubernetes 이야기

Kubernetes에서 Connaisseur 를 사용하여 이미지 서명 검증하기

Connaisseur Connaisseur는 컨테이너 이미지 서명 확인을 위한 Kubernetes admission controller 이다. Cosign (https://github.com/sigstore/cosign) 을 사용하여 이미지 서명을 하였는데 서명된 이미지를 Kubernetes Pod로 실행 시 검증을 하기 위해서 Connaisseur을 사용한다. Connaisseur는 Kubernetes 클러스터에서 컨테이너 이미지의 무결성과 출처를 보장한다. 이미지 검증 결과에 따라 해당 요청을 수락하거나 거부할 수 있다. Connaisseur는 아래의 이미지 서명 솔루션과 연동을 목표로 하고 있다. Notary V1 / Docker Content Trust Sigstore / Cosign Notary..
Kubernetes/보안 2022. 2. 22. 20:30
Cosign 으로 Container 이미지 서명하기

Cosign 사용자가 만든 Container가 운영서버에 배포될때 변조 되지 않았음을 확인하는 것은 보안상 매우 중요한 일이다. Cosign 프로젝트는 OCI 레지스트리에서 컨테이너 서명, 확인 및 저장을 지원한다. (https://github.com/sigstore/cosign) 원래 컨테이너 이미지에 서명하는 것으로 잘 알려진 솔루션은 Docker Content Trust/Notary이다. 하지만 필자가 여러 자료를 찾고 있을 당시에는 Docker enginge없이 DCT/Notary를 사용하여 컨테이너 이미지를 서명하고 서명한 이미지를 Kubernetes에서 로딩할 때 검사하는 구성이 지원되지 않기(?) 때문이다. ( 지원이 안되는 것인지 못 찾은 것인지는 잘 모르겠다. ) 현재 Kubernetes..
Kubernetes/보안 2022. 2. 22. 18:17
Kyverno ( Kubernetes Policy)

Kyverno Kubernetes에서는 PodSecurityPolicy라는 파드 명세의 보안 관련 측면을 제어할 수 있도록 하는 내장 admission controller이다. 하지만 Kubernetes v1.21부터 더이상 사용되지 않으며, v1.25에서 제거되는 리소스이다. (관련내용 : https://kubernetes.io/docs/concepts/policy/pod-security-policy/) PodSecurityPolicy와 유사한 기능을 하는 여러 외부 승인 컨트롤러가 있습니다. 이 중 대표적으로 OPA/Gatekeeper 가 있는데 이번에는 OPA와 더불어 많이 사용되고 있는 Kyverno에 대해 알아보도록 하자. ( Kubernetes 1.23 에서는 PodSecurityPolicy대..
Kubernetes/보안 2022. 2. 20. 20:22
이전 Prev 1 2 3 Next 다음