vSphere with Tanzu 安全

vSphere with Tanzu 利用 vSphere 安全功能，并置备默认安全的 Tanzu Kubernetes 集群。

vSphere with Tanzu 是 vSphere 的附加模块，能够利用 vCenter Server 和 ESXi 中内置的安全功能。有关详细信息，请参见 vSphere 安全性文档。

主管集群 会加密存储在数据库 (etcd) 中的所有密钥。密钥通过本地解密密钥文件进行加密，该文件由 vCenter Server 在引导时提供。解密密钥存储在 主管集群 节点上的内存 (tempfs) 中，并以加密形式存储在磁盘上的 vCenter Server 数据库中。该密钥以明文形式提供给每个系统的 root 用户。在每个工作负载集群的数据库中保存的密钥以明文形式存储。所有 etcd 连接都使用在安装时生成并在升级期间轮换的证书进行身份验证。当前无法手动轮换或更新证书。

从 vSphere 7.0 Update 2 开始，可以在 AMD 系统上的 主管集群 中运行机密 vSphere Pod。可添加 Secure Encrypted Virtualization-Encrypted State (SEV-ES) 以增强安全性，从而创建机密 vSphere Pod。有关详细信息，请参见部署机密 vSphere Pod。

默认情况下，Tanzu Kubernetes 集群是安全的。受限 PodSecurityPolicy (PSP) 可用于 Tanzu Kubernetes Grid 服务 置备的任何 Tanzu Kubernetes 集群。如果开发人员需要运行特权 Pod 或根容器，集群管理员必须至少创建一个 RoleBinding，以便授予用户对默认特权 PSP 的访问权限。有关详细信息，请参见对 Tanzu Kubernetes 集群使用 POD 安全策略。

Tanzu Kubernetes 集群没有基础架构凭据。存储在 Tanzu Kubernetes 集群中的凭据仅够访问 Tanzu Kubernetes 集群有租户的 vSphere 命名空间。因此，集群运维人员或用户没有特权提升途径。

用于访问 Tanzu Kubernetes 集群的身份验证令牌已限定范围，因此无法使用这些令牌访问 主管集群。这可防止集群运维人员或试图破坏集群的人员在登录到 Tanzu Kubernetes 集群时使用其 root 级别访问权限捕获 vSphere 管理员的令牌。