TKG 服務叢集的安全性

具有 主管 的 TKG 服務利用 vSphere 安全性功能，並且允許佈建預設安全的工作負載叢集。

vSphere IaaS control plane 是 vSphere 的附加元件模組，可以利用 vCenter Server 和 ESXi 內建的安全性功能。如需詳細資訊，請參閱《vSphere 安全性》說明文件。

主管 會加密儲存在資料庫 (etcd) 中的所有密碼。密碼透過本機加密金鑰檔案進行加密，該檔案由 vCenter Server 在開機時提供。解密金鑰儲存在 主管 控制平面節點上的記憶體 (tempfs) 中，並以加密形式儲存在磁碟上的 vCenter Server 資料庫中。該金鑰以明碼方式提供給每個系統的 root 使用者。

相同的加密模型適用於在每個 TKG 叢集控制平面上安裝的資料庫 (etcd) 中的資料。所有 etcd 連線都使用在安裝時產生並在升級期間輪替的憑證進行驗證。目前無法手動輪替或更新憑證。在每個工作負載叢集的資料庫中儲存的密碼以明碼方式儲存。

TKG 叢集不具有基礎結構認證。儲存在 TKG 叢集中的認證僅足夠用於存取 TKG 叢集具有租戶的 vSphere 命名空間。因此，叢集操作員或使用者沒有途徑可提升權限。

用於存取 TKG 叢集的驗證 Token 已限定範圍，因此無法使用該 Token 存取 主管 或其他 TKG 叢集。這可防止叢集操作員或可能嘗試危害叢集的個人在登入 TKG 叢集時使用其根層級存取權擷取 vSphere 管理員的 Token。

依預設，TKG 叢集是安全的。從 Tanzu Kubernetes 版本 v1.25 開始，TKG 叢集依預設啟用網繭安全性許可控制器 (PSA)。對於 Tanzu Kubernetes 版本 v1.24 及更低版本，可對任何 TKG 叢集使用限制性網繭安全性原則 (PSP)。如果開發人員需要執行具特殊權限的網繭或根容器，叢集管理員至少必須建立一個 RoleBinding，授與使用者對預設的特殊權限 PSP 的存取權。