O vSphere with Tanzu aproveita os recursos de segurança do vSphere e provisiona Tanzu Kubernetes clusters que são seguros por padrão.
vSphere with Tanzu é um módulo complementar para o vSphere que pode aproveitar os recursos de segurança integrados ao vCenter Server e ao ESXi. Para obter mais informações, consulte a documentação do vSphere Security .
Os dados do cluster armazenados no banco de dados do Supervisor Cluster (etcd) são criptografados com um arquivo de chave de criptografia local. O mesmo é verdadeiro para o banco de dados (etcd) que está instalado no plano de controle para cada cluster Tanzu Kubernetes. Os certificados são renovados automaticamente quando você atualiza esse cluster. Não é possível alternar ou atualizar manualmente os certificados.
A partir do vSphere 7.0 Update 2, você pode executar confidenciais vSphere Pods em um Supervisor Cluster em sistemas AMD. Você pode criar um vSphere Pods confidencial adicionando o estado criptografado de virtualização segura (SEV-ES) como um aprimoramento de segurança. Para obter mais informações, consulte Implantar um Confidencial vSphere Pod.
Um cluster Tanzu Kubernetes é seguro por padrão. O Restrictive PodSecurityPolicy (PSP) está disponível para qualquer cluster Tanzu Kubernetes provisionado pelo Tanzu Kubernetes Grid Service. Se os desenvolvedores precisarem executar pods privilegiados ou contêineres raiz, no mínimo um administrador de cluster deverá criar um RoleBinding que conceda ao usuário acesso ao PSP privilegiado padrão. Para obter mais informações, consulte Usando políticas de segurança de pod com clusters do Tanzu Kubernetes.
Um cluster de Tanzu Kubernetes não tem credenciais de infraestrutura. As credenciais armazenadas em um cluster do Tanzu Kubernetes são suficientes apenas para acessar o vSphere Namespace em que o cluster do Tanzu Kubernetes tem locação. Como resultado, não há uma via de escalonamento de privilégios para operadores de cluster ou usuários.
Os tokens de autenticação usados para acessar os clusters Tanzu Kubernetes têm o escopo definido de tal forma que os tokens não podem ser usados para acessar o Supervisor Cluster. Isso impede que operadores de cluster, ou indivíduos que possam tentar comprometer um cluster, usem seu acesso de nível raiz para capturar um token de administrador do vSphere quando fizerem login em um cluster do Tanzu Kubernetes.
