《Kubernetes安全和可观测性》—

Kubernetes安全和可观测性

范彬, 张保珠译

出版时间：2025年02月

页数：191

“对于任何关心Kubernetes集群或工作负载安全的人来说，这本书都是必读的！书中的概念广泛适用所有行业、所有垂直产业和所有规模的公司。”
——Seth Vargo
谷歌高级工程师

Kubernetes 容器化工作负载的安全性、可观测性和故障排查是一项复杂的任务，涉及多方面因素的综合考量，包括基础设施选择、集群配置、部署管理，以及运行时和网络安全等。本书将帮助你掌握整体性的安全和可观测性策略，构建并保护运行在 Kubernetes 上的云原生应用。展开全部内容介绍

目录
产品信息
关于作者
封面介绍

前言
第1章安全和可观测性战略
1.1 Kubernetes安全：一个全新不同的世界
1.2 Kubernetes部署工作负载的各个阶段的安全措施
1.2.1 构建安全：安全左移
1.2.2 部署安全
1.2.3 运行时安全
1.2.4 可观测性
1.2.5 安全框架
1.3 安全和可观测性
1.4 总结
第2章基础设施安全
2.1 主机加固
2.1.1 操作系统的选择
2.1.2 清除不必要的进程
2.1.3 主机的防火墙
2.1.4 保持对最新最佳实践的研究
2.2 集群加固
2.2.1 Kubernetes数据存储安全
2.2.2 Kubernetes API服务器安全
2.2.3 对Kubernetes Secret进行落盘加密
2.2.4 频繁更换证书
2.2.5 认证和RBAC
2.2.6 云服务商元数据API的访问限制
2.2.7 开启审计
2.2.8 alpha或beta功能的访问限制
2.2.9 经常升级Kubernetes
2.3 使用托管Kubernetes服务
2.3.1 CIS基准
2.3.2 网络安全
2.4 总结
第3章工作负载部署安全
3.1 镜像构建和镜像扫描
3.1.1 基础镜像的选择
3.1.2 容器镜像加固
3.1.3 容器镜像扫描方案
3.1.4 隐私关注
3.1.5 容器威胁分析
3.2 CI/CD
3.2.1 通过镜像仓库扫描服务扫描镜像
3.2.2 构建后扫描镜像
3.2.3 内嵌镜像扫描
3.2.4 Kubernetes准入控制器
3.2.5 CI/CD流水线安全
3.3 组织策略
3.3.1 密钥管理
3.3.2 使用etcd存储密钥
3.3.3 密钥管理服务
3.3.4 Kubernetes密钥存储的CSI驱动程序
3.3.5 密钥管理的最佳实践
3.4 认证
3.4.1 X509客户证书
3.4.2 Bearer令牌
3.4.3 OIDC令牌
3.4.4 认证代理程序
3.4.5 匿名请求
3.4.6 用户冒名顶替
3.5 授权
3.5.1 节点授权
3.5.2 ABAC
3.5.3 AlwaysDeny/AlwaysAllow
3.5.4 RBAC
3.5.5 命名空间的RBAC
3.5.6 缓解特权越级
3.6 总结
第4章工作负载运行时安全
4.1 PSP
4.1.1 如何使用PSP
4.1.2 使用PSP定义Linux Capabilities
4.1.3 Pod Security Context
4.1.4 PSP的局限性
4.1.5 容器进程监控
4.1.6 Kubernetes原生监控
4.1.7 Seccomp
4.1.8 SELinux
4.1.9 AppArmor
4.1.10 Sysctl
4.2 总结
第5章可观测性
5.1 监控
5.2 可观测性概述
5.2.1 Kubernetes可观测性
5.2.2 Kubernetes可观测性的实现
5.2.3 Linux内核工具
5.3 可观测性组件
5.4 聚合与关联
5.5 可视化
5.5.1 服务视图
5.5.2 网络流量的可视化
5.6 分析和故障排除
5.6.1 分布式追踪
5.6.2 抓包
5.7 总结
第6章可观测性和安全
6.1 告警
6.1.1 机器学习
6.1.2 一些机器学习作业的示例
6.2 安全运营中心
6.3 用户和实体行为分析（UEBA）
6.4 总结
第7章网络策略
7.1 什么是网络策略
7.2 为什么网络策略很重要
7.3 网络策略的实现
7.4 网络策略最佳实践
7.4.1 入口与出口（Ingress与Egress）
7.4.2 不要仅关注关键的工作负载
7.4.3 策略和标签模式
7.4.4 默认拒绝和默认应用策略
7.5 策略工具
7.5.1 开发流程和微服务（实施网络安全）的好处
7.5.2 策略建议
7.5.3 策略影响预览
7.5.4 策略预发布和审计模式
7.6 总结
第8章跨团队管理信任
8.1 基于角色的访问控制
8.1.1 Kubernetes网络策略的局限性
8.1.2 更丰富的网络策略实现
8.1.3 准入控制器
8.2 总结
第9章暴露服务给外部客户
9.1 理解Pod直连
9.2 理解Kubernetes service
9.2.1 Cluster IP类型service
9.2.2 节点端口（Node Port）类型Service
9.2.3 Load Balancer类型Service
9.2.4 externalTrafficPolicy:local
9.2.5 扩展网络策略
9.2.6 Kube-proxy的替代产品
9.2.7 服务直接返回（DSR）
9.2.8 限制Service的externalIP
9.2.9 广播Service IP
9.2.10 理解Kubernetes Ingress
9.3 总结
第10章数据传输加密
10.1 代码中构建加密
10.2 Sidecar或服务网格加密
10.3 网络层加密
10.4 总结
第11章威胁防御和入侵检测
11.1 Kubernetes的威胁防御（攻击的各个阶段）
11.2 入侵检测
11.2.1 入侵检测系统
11.2.2 IP地址和域名的威胁源
11.2.3 域名信息的特殊考虑
11.3 先进的威胁防御技术
11.3.1 金丝雀Pod或资源
11.3.2 基于DNS的攻击和防御
11.4 总结
后记

购买选项

定价：78.00元

书号：978-7-5198-9187-9

出版社：中国电力出版社

联系出版社邮购