감독자의 TKG 서비스는 vSphere 보안 기능을 활용하며 기본적으로 안전한 워크로드 클러스터를 프로비저닝합니다.
vSphere IaaS control plane는 vCenter Server 및 ESXi에 내장된 보안 기능을 활용할 수 있는 vSphere에 대한 추가 기능 모듈입니다. 자세한 내용은 vSphere 보안 설명서를 참조하십시오.
감독자는 데이터베이스(etcd)에 저장된 모든 암호를 암호화합니다. 암호는 부팅 시 vCenter Server에 의해 제공되는 로컬 암호와 키 파일을 통해 암호화됩니다. 암호 해독 키는 감독자 제어부 노드의 메모리(tempfs) 및 vCenter Server 데이터베이스 내의 디스크에 암호화된 형식으로 저장됩니다. 키는 각 시스템의 루트 사용자에게 일반 텍스트로 사용할 수 있습니다.
각 TKG 클러스터 제어부에 설치된 데이터베이스(etcd)의 데이터에 동일한 암호화 모델이 적용됩니다. 모든 etcd 연결은 설치 시 생성되고 업그레이드 중에 순환되는 인증서를 사용하여 인증됩니다. 현재는 인증서를 수동으로 순환하거나 업데이트할 수 없습니다. 각 워크로드 클러스터의 데이터베이스 내에 유지되는 암호는 일반 텍스트로 저장됩니다.
TKG 클러스터에 인프라 자격 증명이 없습니다. TKG 클러스터 내에 저장된 자격 증명은 TKG 클러스터에 테넌시가 있는 vSphere 네임스페이스에 액세스하는 데에만 충분합니다. 따라서 클러스터 운영자 또는 사용자에 대해 권한을 에스컬레이션할 수 있는 방법은 없습니다.
TKG 클러스터에 액세스하는 데 사용되는 인증 토큰은 감독자 또는 기타 TKG 클러스터에 액세스하는 데 토큰을 사용할 수 없도록 범위가 지정됩니다. 이렇게 하면 클러스터 운영자 또는 클러스터를 손상시키려는 개인이 TKG 클러스터에 로그인할 때 vSphere 관리자의 토큰을 캡처하기 위해 루트 수준 액세스를 사용하는 것을 방지할 수 있습니다.
TKG 클러스터는 기본적으로 안전합니다. Tanzu Kubernetes 릴리스 v1.25부터 TKG 클러스터에는 기본적으로 PSA(포드 보안 승인) 컨트롤러가 사용되도록 설정됩니다. Tanzu Kubernetes 릴리스 v1.24까지 모든 TKG 클러스터에 대해 제한적인 PSP(포드 보안 정책)를 사용할 수 있습니다. 개발자가 권한 있는 포드 또는 루트 컨테이너를 실행해야 하는 경우, 최소한 클러스터 관리자는 권한이 있는 기본 PSP에 대한 액세스 권한을 사용자에게 부여하는 RoleBinding을 생성해야 합니다.
