vSphere with Tanzu aproveita vSphere recursos de segurança e provisiona Tanzu Kubernetes Grid clusters que são seguros por padrão.
vSphere with Tanzu é um módulo complementar para vSphere que é capaz de aproveitar os recursos de segurança integrados em vCenter Server e ESXi. Para obter mais informações, consulte a documentação de vSphereSegurança.
O Supervisor criptografa todos os segredos armazenados no banco de dados (etcd). Os segredos são criptografados por meio de um arquivo de chave de criptografia local, que é fornecido na inicialização por vCenter Server. A chave de descriptografia é armazenada na memória (tempfs) nos nós Supervisor e no disco de forma criptografada no banco de dados vCenter Server. A chave está disponível em texto não criptografado para os usuários raiz de cada sistema. Os segredos mantidos no banco de dados de cada cluster de carga de trabalho são armazenados em texto não criptografado. Todas as conexões etcd são autenticadas com certificados que são gerados na instalação e alternados durante as atualizações. A rotação ou atualização manual dos certificados não é possível no momento.
No Supervisor, você pode executar o vSphere Pods confidencial em sistemas compatíveis. Você pode criar um vSphere Pods confidencial adicionando o estado criptografado da virtualização criptografada segura (SEV-ES) como um aprimoramento de segurança. Para obter mais informações, consulte Implantar um pod vSphere confidencial em vSphere with Tanzu Serviços e cargas de trabalho.
Um cluster Tanzu Kubernetes Grid é seguro por padrão. O PodSecurityPolicy (PSP) restritivo está disponível para qualquer cluster Tanzu Kubernetes Grid. Se os desenvolvedores precisarem executar pods ou contêineres raiz com privilégios, um administrador de cluster deverá, no mínimo, criar um RoleBinding que conceda ao usuário acesso ao PSP com privilégios padrão. Para obter mais informações, consulte Usando Tanzu Kubernetes Grid 2 com vSphere with Tanzu.
Um cluster Tanzu Kubernetes Grid não tem credenciais de infraestrutura. As credenciais armazenadas em um cluster Tanzu Kubernetes Grid são suficientes apenas para acessar o vSphere Namespace em que o cluster Tanzu Kubernetes Grid tem tenancy. Como resultado, não há um meio de escalonamento de privilégios para operadores ou usuários de cluster.
O token de autenticação usado para acessar um cluster Tanzu Kubernetes Grid tem escopo definido de forma que o token não possa ser usado para acessar os clusters Supervisor ou outros Tanzu Kubernetes Grid. Isso impede que os operadores de cluster, ou indivíduos que possam tentar comprometer um cluster, usem seu acesso de nível raiz para capturar um token de administrador vSphere quando fizerem login em um cluster Tanzu Kubernetes Grid.
