개인 공부방

[CKS] CIS Benchmark (kube-bench)

비유하자면 CIS Benchmark는 국제 보안 단체(Center for Internet Security)가 만든 건물 안전 기준서입니다. "비상구는 잠그지 말 것", "소화기는 몇 미터마다" 같은 항목이 쿠버네티스 버전으로 수백 개 정리되어 있습니다.kube-bench는 이 기준서를 들고 체크하는 점검관입니다. PASS/WARN/FAIL 딱지를 붙이고, FAIL 항목에는 조치 방법(Remediation) 까지 적어줍니다. 중요한 점은 점검관이 고쳐주지는 않는다는 것입니다. 고치는 건 우리 몫이고, 시험도 정확히 이 부분을 묻습니다.실습0. 사전 구성시험장에는 보통 설치되어 있습니다. 실습용으로 GitHub 릴리스에서 받겠습니다.KB_VER=$(curl -s https://api.github.com/re..

Network Policy는 단순히 허용 명단을 만드는 것입니다. 허용된 사람을 제외하고 나머지는 모두 거부하는 것입니다.Cilium Network Policy는 여기에 두 가지가 더 있습니다.블랙리스트 명단이 있습니다."다른 건 다 열어두고 이것만 막기"가 가능합니다.Pod에 대해 적용하기 위해서는 IP가 아닌 Pod의 레이블로 식별합니다.Cilium은 Pod의 라벨 조합마다 Identity라는 번호를 발급하고, 정책을 IP가 아니라 이 Identity로 집행합니다. Pod IP는 재시작하면 바뀌는 임시 주소이니, 바뀌지 않는 라벨 기반 신분증으로 확인하는 것입니다.이 특성으로 인해 Cilium 클러스터에서 ipBlock: 0.0.0.0/0을 허용해도 "인터넷 전체"만 허용될 뿐, 클러스터 내부 Pod..

1. Cluster Setup (15%)역량 (원문)의미실습Use Network security policies to restrict cluster level accessNetworkPolicy로 접근 제한default-deny, 특정 네임스페이스·Pod만 허용, DNS egress 허용Use CIS benchmark to review the security configuration of Kubernetes componentsCIS 벤치마크로 컴포넌트 점검kube-bench 실행 후 FAIL 항목을 매니페스트·kubelet 설정에서 수정Properly set up Ingress with TLSIngress에 TLS 적용TLS Secret 생성, Ingress에 tls 섹션 추가Protect node me..

CKS 취득을 위한 개념 및 실습에 대한 내용입니다.Network Policy는 클러스터 내/외부 통신 간 파드로 들어오는 트래픽이나 파드에서 나가는 트래픽을 제어하는 리소스입니다.Network Policy에서 사용되는 셀렉터는 세가지 입니다.podSelector : 같은 네임스페이스의 레이블로 Pod 지정namespaceSelector : 레이블로 네임스페이스 지정ipBlock : CIDR 대역 지정 (except를 통한 대역 제외도 가능)Network Policy에서 가장 헷갈리면서도 중요한 부분이 조건이 AND 인지 OR 인지 판단하고 적용하는 것입니다.이것을 나누는 것이 - 문자 하나 차이입니다.# AND: "other 네임스페이스에 있으면서 + run=outsider 라벨인 Pod"- from:..

보호되어 있는 글입니다.

https://kubernetes.io/ko/docs/reference/kubectl/jsonpath/ JSONPath 지원Kubectl은 JSONPath 템플릿을 지원한다. JSONPath 템플릿은 중괄호 {}로 둘러싸인 JSONPath 표현식으로 구성된다. Kubectl은 JSONPath 표현식을 사용하여 JSON 오브젝트의 특정 필드를 필터링하고 출력 형식을kubernetes.io JSON속성-값, 키-값, 배열 자료형, 시리얼화(직렬화) 가능한 값으로 이루어진 데이터 오브젝트를 전달하기 위해 인간이 읽을 수 있는 텍스트 기반으로 이루어진 표준 포맷이다.  JSONPathJSON에서 값을 쿼리하기 위한 쿼리 언어. Kubernetes에서 JSONPath를 사용할 수 있도록 지원한다.  사용 예시Ku..

AWS CLI 설치kubectl 설치eksctl 설치사전구성인스턴스 생성 및 연결적절한 인스턴스 하나 생성 후 PuTTY든 MobaXTerm이든 AWS CloudShell이든 SSH Client 도구를 이용하여 실행한다. 액세스 키 생성 (안전하게 관리할 것, 외부 노출 X)AWS IAM에서 CLI를 위한 액세스 키 생성 AWS CLI 설치 및 설정https://docs.aws.amazon.com/cli/latest/userguide/getting-started-install.html Installing or updating to the latest version of the AWS CLI - AWS Command Line InterfaceWhen updating from a previous versio..

컬렉션 프레임워크는 일종의 자료구조를 java에서도 사용할 수 있도록 인터페이스 기반으로 구현해놓은 클래스를 의미한다. 다양한 클래스, 자료구조와 알고리즘을 제공하며 데이터를 효율적으로 관리할 수 있도록 한다. 컬렉션 프레임워크에는 여러가지 자료구조가 있는데 Set, List, Queue, Map 이 존재한다. 각 자료구조는 저마다의 특징이 있으며 반드시 사용해야만 하는 그런 내용은 아니다. 어떤 경우에는 이런 자료구조를 또 이런 경우는 이 자료구조를 사용하는 것으로 경우에 따라 사용하면 된다. 위 구성도를 보면 Map을 제외한 모든 인터페이스들은 Collection인터페이스를 상속하고 Collection인터페이스는 Iterable이라는 인터페이스를 상속한다. 이에 대한 내용과 각 인터페이스의 특징 및 ..

목적 백업(Backup) 복원(Restore) https://kubernetes.io/docs/tasks/administer-cluster/configure-upgrade-etcd/ Operating etcd clusters for Kubernetes etcd is a consistent and highly-available key value store used as Kubernetes' backing store for all cluster data. If your Kubernetes cluster uses etcd as its backing store, make sure you have a back up plan for the data. You can find in-depth information a ..

정의 및 목적 사용 방법 https://kubernetes.io/docs/concepts/services-networking/network-policies/ Network Policies If you want to control traffic flow at the IP address or port level (OSI layer 3 or 4), NetworkPolicies allow you to specify rules for traffic flow within your cluster, and also between Pods and the outside world. Your cluster must use a network plugin tha kubernetes.io 1. 정의 및 목적 Network Pol..