Защита Control Plane и шифрование etcd


Защита Control Plane начинается с API-сервера и базы данных etcd.

Шифрование данных в etcd — критический шаг. По умолчанию секреты хранятся в base64 (открытый вид). Включение шифрования через --encryption-provider-config гарантирует, что даже при доступе к etcd злоумышленник не прочитает секреты.

Рекомендуемый алгоритм — aescbc с надёжным управлением ключами.

Для автоматической проверки настроек используется kube-bench (стандарт CIS Benchmark). Он находит:


 • Неправильные права на файлы
 • Незащищённые порты
 • Выключенный аудит-лог


Аудит-лог — ключевой инструмент для обнаружения аномалий и расследования инцидентов.

Защищайте Control Plane профессионально с Riqli