Kubernetes Blog
·
Kubernetes v1.35：通过exec插件白名单限制kubeconfigs调用的可执行文件
内容提要
Kubernetes v1.35新增凭证插件策略和白名单功能，用户可通过配置文件限制kubectl执行的凭证插件，从而增强安全性，防止供应链攻击。
关键要点
-
Kubernetes v1.35新增凭证插件策略和白名单功能，增强安全性。
-
kubectl可以在用户不知情的情况下运行任意可执行文件，存在安全隐患。
-
用户可以通过配置文件限制kubectl执行的凭证插件，防止供应链攻击。
-
新功能以beta版本提供，无需编写应用代码即可管理。
-
可以通过设置credentialPluginPolicy和credentialPluginAllowlist字段来限制可执行的凭证插件。
-
提供了三种策略选项：AllowAll、DenyAll和Allowlist。
-
Allowlist允许用户指定特定的凭证插件，增强控制。
-
未来计划增加更多要求，如校验和验证和签名验证。
-
Kubernetes SIG CLI欢迎用户反馈和贡献，鼓励参与讨论。
延伸解读
安全性提升的必要性
Kubernetes v1.35引入的凭证插件策略和白名单功能，旨在解决kubectl可能在用户不知情的情况下执行任意可执行文件的问题。这一改进对于防止潜在的供应链攻击至关重要，尤其是在当前网络安全威胁日益增加的背景下。用户应重视这一功能，以增强集群的安全性。
灵活的策略选择
新版本提供了三种策略选项：AllowAll、DenyAll和Allowlist。用户可以根据实际需求灵活选择，尤其是在不确定使用哪些凭证插件时，设置为DenyAll可以帮助识别潜在的安全隐患。这种灵活性使得用户能够更好地控制kubectl的行为，提升安全管理能力。
未来功能展望
Kubernetes团队计划在未来的版本中增加更多的安全要求，如校验和验证和签名验证。这些增强功能将进一步提升凭证插件的安全性，用户在使用时应关注这些更新，以确保其环境的安全性和合规性。
延伸问答
Kubernetes v1.35新增了哪些安全功能？
Kubernetes v1.35新增了凭证插件策略和白名单功能，增强了安全性，防止供应链攻击。
如何限制kubectl执行的凭证插件？
用户可以通过在配置文件中设置credentialPluginPolicy和credentialPluginAllowlist字段来限制kubectl执行的凭证插件。
Kubernetes v1.35的凭证插件策略有哪些选项？
凭证插件策略有三种选项：AllowAll、DenyAll和Allowlist。
使用DenyAll策略会发生什么？
使用DenyAll策略时，kubectl将不允许执行任何凭证插件，用户会收到相关错误提示。
如何使用Allowlist来允许特定插件？
可以通过设置credentialPluginPolicy为Allowlist，并在credentialPluginAllowlist中指定允许的插件名称来实现。
未来Kubernetes计划增加哪些功能？
未来计划增加校验和验证和签名验证等要求，以进一步增强安全性。
