checkpoint/cp-nano-k8s-workload-protection

轻量级Kubernetes访问控制代理容器

镜像概述

本Docker镜像为一个轻量级（nano）代理容器，专为Kubernetes集群设计，主要用于提供访问控制执行功能，确保集群内资源访问的安全性和合规性。通过在集群中部署该代理，可实现对Pod、服务、配置等资源访问的精细化控制与策略执行。

核心功能与特性

• 轻量级设计：采用nano架构，资源占用极低（CPU/内存消耗小），适合在资源受限的Kubernetes环境中部署
• Kubernetes原生集成：支持与Kubernetes API Server、RBAC（基于角色的访问控制）等原生组件无缝对接
• 访问控制策略执行：可依据预定义策略对集群内资源访问请求进行实时检查与拦截，确保仅授权请求被允许
• 实时监控与审计：提供访问日志记录功能，支持对访问行为进行实时监控与审计追踪，满足合规性需求
• 高可用性：支持多实例部署，具备故障自愈能力，保障访问控制功能的持续可用

使用场景与适用范围

• Kubernetes集群访问控制管理：适用于各类Kubernetes集群（包括自建、云托管集群）的访问安全管控
• 多租户环境资源隔离：在多租户Kubernetes集群中，可通过该代理实现租户间资源访问的严格隔离
• 企业级合规性要求：满足***、政务等对访问控制与审计有严格合规要求的企业环境
• 精细化权限控制场景：需要对Pod间通信、服务访问、敏感配置读取等行为进行精细化权限管控的场景

使用方法与配置说明

基本部署（Docker Run）

bash
docker run -d \
  --name nano-access-agent \
  -e K8S_API_SERVER=https://your-k8s-api-server:6443 \
  -e POLICY_CONFIG=/etc/agent/policy.yaml \
  -v /path/to/your/policy.yaml:/etc/agent/policy.yaml \
  -v /var/run/secrets/kubernetes.io/serviceaccount:/var/run/secrets/kubernetes.io/serviceaccount \
  your-registry/nano-access-agent:latest

Kubernetes部署（DaemonSet示例）

yaml
apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: nano-access-agent
  namespace: kube-system
spec:
  selector:
    matchLabels:
      app: nano-access-agent
  template:
    metadata:
      labels:
        app: nano-access-agent
    spec:
      containers:
      - name: nano-access-agent
        image: your-registry/nano-access-agent:latest
        env:
        - name: K8S_API_SERVER
          value: "https://kubernetes.default.svc:443"
        - name: LOG_LEVEL
          value: "info"
        volumeMounts:
        - name: policy-config
          mountPath: /etc/agent/policy.yaml
          subPath: policy.yaml
        - name: sa-token
          mountPath: /var/run/secrets/kubernetes.io/serviceaccount
          readOnly: true
      volumes:
      - name: policy-config
        configMap:
          name: nano-agent-policy
      - name: sa-token
        secret:
          secretName: default-token-xxxx

环境变量配置

策略配置示例（policy.yaml）

yaml
apiVersion: access-agent.nano/v1
kind: AccessPolicy
rules:
- resource:
    apiGroup: ""
    resource: "pods"
    verbs: ["get", "list", "watch"]
  subjects:
    - kind: "ServiceAccount"
      name: "default"
      namespace: "default"
  action: "allow"
- resource:
    apiGroup: "apps"
    resource: "deployments"
    verbs: ["create", "update", "delete"]
  subjects:
    - kind: "Group"
      name: "admin"
  action: "allow"
- action: "deny"  # 默认拒绝所有未匹配规则的请求

注意事项

• 部署前需确保Kubernetes集群版本≥1.16（RBAC功能需正常启用）
• 策略配置文件需提前通过ConfigMap或Secret挂载至容器内指定路径
• 建议为代理容器配置适当的资源限制（如resources: {limits: {cpu: "100m", memory: "128Mi"}, requests: {cpu: "50m", memory: "64Mi"}}）以避免资源竞争
• 生产环境中应启用TLS加密（通过挂载证书文件并配置TLS_CERT_PATH与TLS_KEY_PATH环境变量）以保障通信安全