Безпека для вузлів Windows

На цій сторінці описано міркування щодо безпеки та рекомендації, специфічні для операційної системи Windows.

Захист даних Secret на вузлах

У Windows дані з Secrets записуються у відкритому вигляді в локальне сховище вузла (на відміну від tmpfs / файлових систем у памʼяті в Linux). Як оператору кластера вам слід вжити обох наведених нижче додаткових заходів:

1. Використовуйте ACL файлів, щоб захистити розташування файлів Secrets.
2. Застосовуйте шифрування на рівні тому за допомогою BitLocker.

Користувачі контейнерів

RunAsUsername можна вказати для Podʼів або контейнерів Windows, щоб виконувати процеси контейнера від імені конкретного користувача. Це приблизний еквівалент RunAsUser.

Контейнери Windows мають два стандартні облікові записи користувачів: ContainerUser та ContainerAdministrator. Різницю між цими обліковими записами описано в розділі When to use ContainerAdmin and ContainerUser user accounts документації Microsoft Secure Windows containers.

Локальних користувачів можна додавати до образів контейнерів під час їх збирання.

Контейнери Windows також можуть працювати з ідентичностями Active Directory за допомогою Group Managed Service Accounts

Ізоляція безпеки на рівні Podʼа

Специфічні для Linux механізми контексту безпеки Podʼів (такі як SELinux, AppArmor, Seccomp або власні POSIX capabilities) не підтримуються на вузлах Windows.

Привілейовані контейнери не підтримуються у Windows. Натомість у Windows можна використовувати контейнери HostProcess для виконання багатьох завдань, які в Linux виконують привілейовані контейнери.