paralusio/paralus

零信任访问镜像文档

概述

该镜像是一个基于零信任安全模型的Kubernetes集群访问控制解决方案，旨在为开发人员和SRE（站点可靠性工程师）提供安全、可控的集群访问途径。通过实施"永不信任，始终验证"的原则，确保每次访问请求都经过严格的身份验证、授权检查和行为审计，有效降低未授权访问风险。

核心功能和特性

• 精细访问控制：基于最小权限原则，支持按用户角色、资源类型和操作权限进行精细化授权管理
• 完整审计跟踪：自动记录所有集群访问行为，包括用户身份、访问时间、操作内容及客户端信息，支持日志导出与合规审计
• 多因素认证集成：支持OIDC、SAML、LDAP等多种身份验证协议，可配置MFA（多因素认证）增强账户安全性
• 动态上下文验证：结合访问者设备健康状态、网络位置、访问时间等上下文信息动态调整授权决策
• 加密传输通道：所有集群通信采用TLS 1.3加密，确保数据传输过程中的机密性和完整性

使用场景和适用范围

• 多团队协作环境：企业内部多个开发/运维团队共享Kubernetes集群时的权限隔离与访问控制
• 生产环境访问治理：严格管控对生产K8s集群的访问，仅允许授权人员在必要时执行操作
• 合规性要求场景：满足***、***等行业对访问审计、权限最小化的合规监管要求（如GDPR、HIPAA）
• 远程团队管理：为分布式团队提供安全的远程Kubernetes集群访问通道，无需暴露集群公网入口

使用方法和配置说明

基本部署（Docker Run）

bash
docker run -d \
  --name zero-trust-access \
  -p 443:443 \
  -e K8S_API_SERVER="https://kube-apiserver:6443" \
  -e AUTH_PROVIDER="oidc" \
  -e OIDC_ISSUER_URL="https://auth.example.com" \
  -e AUDIT_LOG_PATH="/var/log/audit" \
  -v /host/path/to/audit:/var/log/audit \
  -v /host/path/to/tls:/etc/tls \
  zero-trust-access:latest

Docker Compose配置示例

yaml
version: '3.8'
services:
  zero-trust-proxy:
    image: zero-trust-access:latest
    container_name: zero-trust-access
    restart: unless-stopped
    ports:
      - "443:443"
    environment:
      # 集群配置
      - K8S_API_SERVER=https://kube-apiserver:6443
      - K8S_CA_CERT_PATH=/etc/k8s/ca.crt
      # 认证配置
      - AUTH_PROVIDER=oidc
      - OIDC_ISSUER_URL=https://auth.example.com
      - OIDC_CLIENT_ID=k8s-zero-trust
      - OIDC_REDIRECT_URI=https://proxy.example.com/callback
      # 安全配置
      - MFA_REQUIRED=true
      - ALLOWED_IPS=192.168.1.0/24,10.0.0.0/8
      - SESSION_TIMEOUT=3600
      # 审计配置
      - AUDIT_LOG_PATH=/var/log/audit
      - AUDIT_LOG_FORMAT=json
    volumes:
      - ./k8s-certs:/etc/k8s:ro
      - ./tls:/etc/tls:ro
      - ./audit-logs:/var/log/audit

核心环境变量说明

访问验证与日志查看

1. 验证服务状态：

bash
docker logs zero-trust-access | grep "Service initialized successfully"

2. 查看审计日志：

bash
tail -f /host/path/to/audit/access.log

3. 测试集群访问：

bash
kubectl --server=https://proxy.example.com get pods --user=developer@example.com

注意事项

• 首次部署需确保TLS证书正确配置（推荐使用Let's Encrypt或企业CA签发的证书）
• 生产环境建议将审计日志挂载至持久化存储，并配置日志轮转策略
• 身份认证提供器（如OIDC服务）需提前完成客户端注册及权限配置
• 定期更新镜像以获取最新安全补丁和功能优化