dblworks/bastion

Bastion 堡垒主机镜像

概述

Bastion是一个轻量级Docker镜像，提供安全访问Kubernetes集群的堡垒主机解决方案。它通过集中化的访问控制和多因素认证机制，确保只有授权用户能够安全地访问Kubernetes资源，同时提供完整的审计跟踪能力。

核心功能和特性

• 多因素认证：支持SSH密钥、WebAuthn/FIDO2安全设备和TOTP一次性密码
• 临时凭证管理：自动生成和轮换临时访问凭证，减少长期凭证风险
• Kubernetes工具集成：内置kubectl、helm、kube-ps1等常用Kubernetes管理工具
• 会话管理：支持会话超时和自动登出，增强安全性
• 审计日志：记录所有用户操作，提供完整的审计跟踪
• Web界面：提供直观的Web管理界面，方便用户操作和管理员配置
• 轻量级设计：基于Alpine Linux构建，镜像体积小，资源占用低

使用场景

• 企业Kubernetes集群的集中化访问控制
• 需要严格安全合规要求的环境
• 多团队共享Kubernetes集群的场景
• 需要审计和跟踪Kubernetes操作的环境
• 希望实现最小权限原则和临时凭证访问的组织

快速开始

Docker Run 示例

bash
docker run -d \
  --name bastion \
  -p 2222:22 \
  -p 8080:8080 \
  -v /path/to/config:/etc/bastion \
  -v /path/to/ssh-keys:/etc/ssh/keys \
  -e KUBECONFIG=/etc/bastion/kubeconfig \
  dblworks/bastion:latest

Docker Compose 示例

yaml
version: '3'
services:
  bastion:
    image: dblworks/bastion:latest
    ports:
      - "2222:22"
      - "8080:8080"
    volumes:
      - ./config:/etc/bastion
      - ./ssh-keys:/etc/ssh/keys
      - ./audit-logs:/var/log/bastion/audit
    environment:
      - KUBECONFIG=/etc/bastion/kubeconfig
      - AUTH_METHODS=ssh,webauthn,totp
      - SESSION_TIMEOUT=3600
      - TZ=UTC
    restart: unless-stopped

配置参数

环境变量

配置文件

配置文件默认路径为 /etc/bastion/config.yaml，主要配置项包括：

yaml
# 用户授权配置
users:
  - name: "john"
    ssh_keys:
      - "ssh-rsa AAAAB3NzaC1yc2EAAA..."
    webauthn_credentials:
      - "credential-id-1"
    allowed_clusters:
      - "production"
      - "staging"
    permissions:
      - "get pods"
      - "list deployments"

# 集群配置
clusters:
  - name: "production"
    kubeconfig: "/etc/bastion/clusters/prod.yaml"
  - name: "staging"
    kubeconfig: "/etc/bastion/clusters/staging.yaml"

使用方法

SSH访问

bash
ssh -p 2222 john@bastion.example.com

连接后，系统会提示进行多因素认证（如配置），成功后可直接使用kubectl等工具操作授权的Kubernetes集群。

Web界面访问

通过浏览器访问 http://bastion.example.com:8080，使用用户名和配置的认证方式登录。Web界面提供集群资源管理、会话管理、个人认证设置和审计日志查询等功能。

临时凭证获取

认证成功后，系统会自动生成临时Kubernetes凭证，可通过以下命令获取当前凭证信息：

bash
bastion credentials show

安全最佳实践

1. 使用多因素认证：推荐同时启用SSH密钥和WebAuthn/FIDO2设备认证
2. 定期轮换密钥：设置合理的密钥轮换策略
3. 限制会话超时：根据安全需求调整SESSION_TIMEOUT，建议不超过8小时
4. 启用审计日志：确保审计日志持久化存储，并定期审查
5. 最小权限原则：为用户分配最小必要权限
6. 定期更新镜像：保持镜像版本最新，获取安全更新

维护和更新

升级镜像

bash
docker pull dblworks/bastion:latest
docker stop bastion
docker rm bastion
# 重新运行容器，使用之前的卷和配置

查看日志

bash
docker logs bastion
# 查看审计日志
docker exec bastion tail -f /var/log/bastion/audit.log