1.9. 保护容器平台
OpenShift Container Platform 和 Kubernetes API 是大规模自动化容器管理的关键。API 用于：
- 验证并配置 Pod、服务和复制控制器的数据。
- 在收到传入请求时执行项目验证，并对其他主要系统组件调用触发器。
OpenShift Container Platform 中基于 Kubernetes 的安全相关功能包括：
- 多租户，将基于角色的访问控制和网络策略组合起来，以在多个级别上隔离容器。
- 准入插件，在 API 和向 API 发出请求的各方之间形成界限。
OpenShift Container Platform 使用 Operator 来自动化和简化 Kubernetes 级别安全功能的管理。
1.9.1. 使用多租户隔离容器
多租户允许 OpenShift Container Platform 集群上由多个用户拥有并在多个主机和命名空间中运行的应用程序保持相互隔离并与外部攻击隔离。要获取多租户，您可以将基于角色的访问控制 (RBAC) 应用到 Kubernetes 命名空间。
在 Kubernetes 中，命名空间是应用程序可以独立于其他应用程序运行的区域。OpenShift Container Platform 使用和扩展命名空间的方式是添加额外的注解，包括在 SELinux 中的 MCS 标签，并将这些扩展命名空间标识为项目。在项目范围内，用户可以维护自己的集群资源，包括服务帐户、策略、限制和各种其他对象。
可将 RBAC 对象分配给项目，以便授权所选用户访问这些项目。该授权采用规则、角色和绑定的形式：
- 规则会定义用户可在项目中创建或访问的内容。
- 角色是您可以绑定到所选用户或组的规则集合。
- 绑定会定义用户或组与角色之间的关联。
本地 RBAC 角色和绑定将用户或组附加到特定项目。集群 RBAC 可将集群范围的角色和绑定附加到集群中的所有项目。有默认的集群角色可以分配，用来提供 admin、basic-user、cluster-admin 和 cluster-status 访问。
1.9.2. 使用准入插件保护 control plane
RBAC 可控制用户和组与可用项目之间的访问规则，而准入插件可定义对 OpenShift Container Platform 主 API 的访问。准入插件形成一个由以下部分组成的规则链：
- 默认准入插件：这些插件实现了一组默认策略和资源限制以应用于 OpenShift Container Platform control plane 的组件。
- 变异准入插件：这些插件会动态地扩展准入链。它们调用 Webhook 服务器，不仅可对请求进行身份验证，还可修改所选资源。
- 验证准入插件： 这些插件验证所选资源的请求，不仅可验证请求，还可确保资源不会再次更改。
API 请求经过一个链中的准入插件，沿途的任何失败都会导致请求遭到拒绝。每个准入插件都与特定资源关联，且只响应这些资源的请求。
1.9.2.1. 安全性上下文约束(SCC)
您可以使用安全性上下文约束 (SCC) 定义 Pod 运行必须满足的一组条件，以便其能被系统接受。
可由 SCC 管理的一些方面包括：
- 运行特权容器
- 容器可请求添加的功能
- 将主机目录用作卷。
- 容器的 SELinux 上下文。
- 容器用户 ID。
如果具有所需的权限，您可以根据需要将默认 SCC 策略调整为更宽松。
1.9.2.2. 为服务帐户授予角色
就像为用户分配基于角色的访问一样，您可以为服务帐户分配角色。为每个项目创建的默认服务帐户有三个。服务帐户：
- 范围限制为特定项目
- 名称来自其项目
- 会被自动分配一个 API 令牌和凭证来访问 OpenShift Container Registry
与平台组件关联的服务帐户自动使其密钥轮转。
1.9.3. 认证和授权
1.9.3.1. 使用 OAuth 控制访问
您可以通过身份验证和授权使用 API 访问控制来保护容器平台。OpenShift Container Platform master 包含内置的 OAuth 服务器。用户可以获取 OAuth 访问令牌来对自身进行 API 身份验证。
作为管理员，您可以使用用户身份供应商（如 LDAP、GitHub 或 Google）配置 OAuth 以进行身份验证。用户身份供应商默认用于新的 OpenShift Container Platform 部署，但您可以在初始安装时或安装后进行此配置。
1.9.3.2. API 访问控制和管理
应用程序可以拥有多个独立的 API 服务，这些服务具有不同的端点需要管理。OpenShift Container Platform 包含 3scale API 网关的容器化版本，以便您管理 API 并控制访问。
3scale 为您提供用于 API 身份验证和安全性的各种标准选项，它们可单独或组合起来用于发布凭证和控制访问：标准 API 密钥、应用程序 ID 和密钥对以及 OAuth 2.0。
您可以限制对特定端点、方法和服务的访问，并为用户组应用访问策略。您可以通过应用程序计划来为各组开发人员设置 API 使用率限制并控制流量。
有关使用容器化的 3scale API 网关 APIcast v2 的教程，请参阅 3scale 文档中的在 Red Hat OpenShift 上运行 APIcast。
1.9.3.3. 红帽单点登录
通过红帽单点登录服务器，您可以提供基于标准的 Web 单点登录功能，包括 SAML 2.0、OpenID Connect 和 OAuth 2.0，从而保护应用程序。该服务器可充当基于 SAML 或 OpenID Connect 的用户身份供应商 (IdP)，使用基于标准的令牌在您的企业用户目录或用于身份信息的第三方用户身份供应商与您的应用程序之间进行调和。您可以将红帽单点登录与基于 LDAP 的目录服务集成，包括 Microsoft Active Directory 和 Red Hat Enterprise Linux Identity Management。
1.9.3.4. 安全自助服务 Web 控制台
OpenShift Container Platform 提供了一个自助服务 Web 控制台，以确保团队在没有授权的情况下无法访问其他环境。OpenShift Container Platform 通过提供以下功能来确保安全多租户 master：
- 使用传输层安全 (TLS) 访问 master
- 使用 X.509 证书或 OAuth 访问令牌访问 API 服务器
- 通过项目配额限制异常令牌可以造成的破坏
- Etcd 服务不直接向集群公开
1.9.4. 为平台管理证书
OpenShift Container Platform 的框架中有多个组件，它们使用基于 REST 的 HTTPS 通信，通过 TLS 证书利用加密功能。OpenShift Container Platform 的安装程序会在安装过程中配置这些证书。生成此流量的一些主要组件如下：
- master（API 服务器和控制器）
- etcd
- 节点
- registry
- 路由器
1.9.4.1. 配置自定义证书
您可以在初始安装过程中或在重新部署证书时为 API 服务器和 Web 控制台的公共主机名配置自定义服务证书。您还可以使用自定义 CA。
