5장. 정책을 사용하여 보안 제공

RHACS 정책 엔진은 정책 기준을 기반으로 생성한 정책을 평가합니다. 각 빌드, 배포 및 런타임 단계에서 다르게 작동합니다.

RHACS는 roxctl CLI를 사용하여 요청 시 정책 규칙을 평가할 수 있습니다. 빌드 단계에서 정책을 위반하는 경우 위반 텍스트 및 오류 코드를 통해 개발자는 실패한 내용과 수정 방법을 알려줍니다. 파이프라인에 실패하도록 오류 코드를 구성할 수 있습니다. 이 단계에서 RHACS는 독립 실행형 이미지와 해당 정책에 대한 배포를 모두 평가할 수 있습니다. 빌드 단계의 위반은 notifier를 사용하여 저장되거나 라우팅되지 않습니다.

RHACS는 배포 시도 중에 워크로드를 검사할 때 배포 단계 정책을 사용합니다. 이러한 정책은 다음 기준과 같은 워크로드 기준으로 구성됩니다.

배포 단계 정책을 빌드할 때 이미지 레지스트리, 이미지 콘텐츠 및 CVE 데이터와 같은 이미지 기준을 포함할 수도 있습니다. 이는 파이프라인 빌드 및 배포 시도에서 동일한 요구 사항을 평가하려는 경우 유용합니다. 이렇게 하면 이미지 및 워크로드 기준이 모두 포함된 정책을 생성하고 빌드 및 배포 단계에 모두 사용할 수 있으므로 정책을 복제할 필요가 없습니다.

RHACS는 Kubernetes 또는 OpenShift Container Platform이 정책 조건과 일치하는 배포, 데몬 세트 또는 작업과 같은 워크로드를 생성하거나 업데이트하지 않도록 합니다. 이 기능은 빌드에 성공한 경우에도 심각한 문제로 배포를 종료하는 데 유용합니다.

RHACS는 배포가 실행된 후 적용 가능한 정책에 대해 배포를 지속적으로 평가합니다. 런타임 정책은 Kubernetes 클러스터 내에서 실행 중인 포드를 모니터링하고 권한이 없는 워크로드 활동, 기본 편차 또는 Kubernetes 리소스 작업을 보고하거나 방지하는 데 사용됩니다. RHACS는 안전하지 않은 Kubernetes 요청을 모니터링하고 API를 사용하여 선택적으로 차단할 수 있습니다. 예를 들어 RHACS는 구성 맵 또는 시크릿에 대한 액세스를 차단할 수 있습니다.

런타임 정책은 다음 두 가지 이벤트 소스를 검사할 수 있습니다.

런타임 정책에는 다음과 같은 이유로 빌드 및 배포 단계 기준이 포함될 수도 있습니다.

감사 로그 정책은 시크릿 및 ClusterRoleBinding 과 같은 중요한 Kubernetes 리소스와 관련된 작업의 Kubernetes 감사 로그를 검사하는 데 사용됩니다. 다음과 같은 특징이 있습니다.

RHACS에서 정책을 구성할 때 보안 정책을 위반하는 조건을 감지할 때 RHACS가 응답하는 방법을 구성할 수 있습니다.

RHACS를 사용하면 개발 라이프사이클의 모든 단계에서 빌드, 배포 및 런타임이라는 보안 정책을 적용할 수 있습니다.

RHACS는 다음 두 가지 유형의 정책을 제공합니다.

승인 컨트롤러 시행에 대한 자세한 내용은 "허용 컨트롤러 시행 이해"를 참조하십시오.

...
admissionControl:
   namespaceSelector:
    matchExpressions:
    - key: namespace.metadata.stackrox.io/name
      operator: NotIn
      values:
        - stackrox
        - kube-system
        - kube-public
        - istio-system
        - example-namespace
...

...
admissionControl:
   namespaceSelector:
    matchExpressions:
    - key: namespace.metadata.stackrox.io/name
      operator: NotIn
      values:
        - stackrox
        - kube-system
        - kube-public
        - istio-system
        - example-namespace
...

RHACS 정책은 보안 규칙을 정의하는 구조화된 텍스트 오브젝트이며 RHACS는 이러한 규칙이 손상될 때 수행하는 작업을 수행합니다.

RHACS 정책에는 다음 부분이 포함되어 있습니다.

정책 관리에 는 보안 팀이 적절한 가전을 수립할 수 있는 일련의 활동이 포함됩니다. 이러한 모든 작업은 정책이 평가되기 전에 수행됩니다. 위반 관리는 보안 및 개발자 팀이 정책 위반을 해결하기 위해 보안 문제를 해결하는 데 사용하는 일련의 활동입니다. 이러한 모든 작업은 정책이 위반된 후 수행됩니다.

Red Hat Advanced Cluster Security for Kubernetes의 기본 보안 정책은 보안 문제를 식별하고 해당 환경의 보안에 대한 모범 사례를 제공할 수 있는 광범위한 범위를 제공합니다. 이러한 정책을 구성하면 해당 환경의 위험이 높은 서비스 배포를 자동으로 방지하고 런타임 보안 사고에 대응할 수 있습니다.

심각도별로 분류된 기본 보안 정책 목록은 "Policy reference"를 참조하십시오.

RHACS를 사용하면 빌드, 배포 및 개발 단계에서 보안을 제공하는 사용자 지정 보안 정책을 만들 수 있습니다. 다음 방법으로 사용자 지정 보안 정책을 생성할 수 있습니다.

자세한 내용은 "사용자 정의 보안 정책 생성 및 수정"을 참조하십시오.

정책 내보내기 및 가져오기를 통해 RHACS 포털의 여러 중앙 인스턴스 간에 보안 정책을 공유할 수 있습니다. 공유 정책은 모든 클러스터에 대해 동일한 표준을 적용하는 데 도움이 됩니다. 정책을 공유하려면 JSON 파일로 내보낸 다음 다른 중앙 인스턴스로 다시 가져옵니다.