vSphere IaaS control plane nutzt vSphere-Sicherheitsfunktionen und stellt Tanzu Kubernetes Grid-Cluster bereit, die standardmäßig sicher sind.
vSphere IaaS control plane ist ein Add-On-Modul für vSphere, das die in vCenter Server und ESXi integrierten Sicherheitsfunktionen nutzen kann. Weitere Informationen finden Sie in der Dokumentation zu vSphere-Sicherheit .
Der Supervisor verschlüsselt alle geheimen Schlüssel, die in der Datenbank (etcd) gespeichert werden. Die geheimen Schlüssel werden über eine lokale Verschlüsselungsschlüsseldatei verschlüsselt, die beim Start von vCenter Server bereitgestellt wird. Der Entschlüsselungsschlüssel wird im Arbeitsspeicher (tempfs) auf den Supervisor-Knoten und auf der Festplatte in verschlüsselter Form innerhalb der vCenter Server-Datenbank gespeichert. Der Schlüssel steht den Root-Benutzern jedes Systems als Klartext zur Verfügung. Die in der Datenbank befindlichen geheimen Schlüssel aller Arbeitslastcluster werden in Klartext gespeichert. Alle etcd-Verbindungen werden mit Zertifikaten authentifiziert, die bei der Installation generiert und während Upgrades rotiert werden. Eine manuelle Rotation oder Aktualisierung der Zertifikate ist derzeit nicht möglich. Dasselbe Verschlüsselungsmodell gilt für die Daten in der Datenbank (etcd), die auf der Steuerungsebene für jeden Tanzu Kubernetes Grid-Cluster installiert sind.
In Supervisor können Sie vertrauliche vSphere-Pods auf kompatiblen Systemen ausführen. Sie können vertrauliche vSphere-Pods erstellen, indem Sie SEV-ES (Secure Encrypted Virtualization-Encrypted State) als Sicherheitserweiterung hinzufügen. Weitere Informationen finden Sie unter Bereitstellen eines vertraulichen vSphere-Pods in Dienste und Arbeitslasten der vSphere IaaS-Steuerungsebene.
Ein Tanzu Kubernetes Grid-Cluster ist standardmäßig sicher. Für alle Tanzu Kubernetes Grid-Cluster ist eine eingeschränkte PodSecurityPolicy-Ressource (PSP) verfügbar. Wenn Entwickler berechtigte Pods oder Root-Container ausführen müssen, muss ein Clusteradministrator mindestens ein RoleBinding-Objekt erstellen, das dem Benutzer Zugriff auf die berechtigten Standard-PSP gewährt. Weitere Informationen finden Sie unter Verwenden des TKG-Dienstes mit der vSphere IaaS-Steuerungsebene.
Ein Tanzu Kubernetes Grid-Cluster verfügt nicht über Anmeldedaten für die Infrastruktur. Die Anmeldedaten, die in einem Tanzu Kubernetes Grid-Cluster gespeichert werden, reichen nur für den Zugriff auf den vSphere-Namespace aus, in dem der Tanzu Kubernetes Grid-Cluster mandantenfähig ist. Infolgedessen gibt es für Clusteroperatoren oder Benutzer keinen Eskalationsweg für Rechte.
Das für den Zugriff auf einen Tanzu Kubernetes Grid-Cluster verwendete Authentifizierungstoken wird so skaliert, dass das Token nicht für den Zugriff auf den Supervisor oder andere Tanzu Kubernetes Grid-Cluster genutzt werden kann. Dadurch wird verhindert, dass Clusteroperatoren oder Personen, die möglicherweise versuchen, einen Cluster zu kompromittieren, ihren Zugriff auf Root-Ebene nutzen, um das Token eines vSphere-Administrators zu erfassen, wenn sie sich bei einem Tanzu Kubernetes Grid-Cluster anmelden.
