vSphere with Tanzu exploite les fonctionnalités de sécurité vSphere et provisionne des clusters Tanzu Kubernetes sécurisés par défaut.
vSphere with Tanzu est un module complémentaire pour vSphere capable d'exploiter les fonctionnalités de sécurité intégrées dans vCenter Server et ESXi. Pour plus d'informations, reportez-vous à la documentation Sécurité vSphere.
L'instance de Cluster superviseur chiffre tous les secrets stockés dans la base de données (etcd). Les secrets sont chiffrés à l'aide d'un fichier de clé de déchiffrement local, qui est fourni au démarrage par le système vCenter Server. La clé de déchiffrement est stockée dans la mémoire (tempfs) sur les nœuds du Cluster superviseur et sur le disque sous forme chiffrée dans la base de données du système vCenter Server. La clé est disponible en texte clair pour les utilisateurs racine de chaque système. Les secrets détenus dans la base de données de chaque cluster de charge de travail sont stockés en texte clair. Toutes les connexions etcd sont authentifiées avec des certificats générés lors de l'installation et alternés lors des mises à niveau. La rotation ou la mise à jour manuelle des certificats n'est actuellement pas possible.
À partir de vSphere 7.0 Update 2, vous pouvez exécuter des Espaces vSphere confidentiels dans un Cluster superviseur sur des systèmes AMD. Vous pouvez configurer des Espaces vSphere confidentiels en ajoutant la fonctionnalité SEV-ES (Secure Encrypted Virtualization-Encrypted State) comme amélioration de la sécurité. Pour plus d'informations, consultez Déployer un Espace vSphere confidentiel.
Un cluster Tanzu Kubernetes est sécurisé par défaut. Un PodSecurityPolicy (PSP) restrictif est disponible pour tout cluster Tanzu Kubernetes provisionné par le Service Tanzu Kubernetes Grid. Si les développeurs doivent exécuter des espaces privilégiés ou des conteneurs racines, au moins un administrateur de cluster doit créer un RoleBinding qui accorde à l'utilisateur l'accès au PSP privilégié par défaut. Pour plus d'informations, consultez Utilisation des stratégies de sécurité de l'espace avec les clusters Tanzu Kubernetes.
Un cluster Tanzu Kubernetes n'a pas d'informations d'identification d'infrastructure. Les informations d'identification stockées dans un cluster Tanzu Kubernetes sont suffisantes pour accéder à l'Espace de noms vSphere sur lequel le cluster Tanzu Kubernetes est locataire. Par conséquent, il n'y a pas de réaffectation des privilèges pour les opérateurs ou les utilisateurs du cluster.
Les jetons d'authentification utilisés pour accéder aux cluster Tanzu Kubernetes disposent d'une étendue ne leur permettant pas de donner accès au Cluster superviseur. Cela empêche les opérateurs de cluster, ou les individus qui peuvent tenter de compromettre un cluster, d'utiliser leur accès de niveau racine pour capturer le jeton d'un administrateur vSphere lorsqu'ils se connectent à un cluster Tanzu Kubernetes.
