第 5 章 使用策略提供安全性

RHACS 策略引擎会根据策略标准评估您创建的策略。它在每个构建、部署和运行时阶段都有所不同。

RHACS 可以使用 roxctl CLI 根据请求评估策略规则。在构建阶段违反策略时，违反了文本和错误代码，开发人员可以了解失败以及如何修复它。您可以将错误代码配置为使管道失败。在这个阶段，RHACS 可以针对适用的策略评估独立镜像和部署。构建阶段的违反情况不会使用通知程序存储或路由。

在部署尝试过程中检查工作负载时，RHACS 使用 deploy 阶段策略。这些策略由工作负载标准组成，如以下条件：

在构建部署阶段策略时，您还可以包括镜像 registry、镜像内容和 CVE 数据等镜像标准。如果要在管道构建和部署尝试中评估相同的要求，这非常有用。这消除了重复策略的需求，因为您可以创建包含镜像和工作负载标准的策略，并将其用于构建和部署阶段。

RHACS 可防止 Kubernetes 或 OpenShift Container Platform 创建或更新工作负载，如部署、守护进程集或作业（与策略条件匹配）。这可用于关闭具有严重问题的部署，即使构建成功也是如此。

RHACS 在部署运行后持续评估适用于适用策略的部署。运行时策略用于监控 Kubernetes 集群中运行的 pod，并报告或防止未经授权的工作负载活动、基准偏差或禁止 Kubernetes 资源操作。RHACS 可以监控不安全的 Kubernetes 请求，并有选择地使用 API 阻止它们。例如，RHACS 可以阻止尝试访问配置映射或 secret。

运行时策略可以检查以下两个事件源：

运行时策略还可以包括构建和部署阶段标准，理由如下：

审计日志策略用于检查 Kubernetes 审计日志中的与敏感 Kubernetes 资源相关的操作，如 secret 和 ClusterRoleBinding。它们有以下特征：

当您在 RHACS 中配置策略时，您可以配置 RHACS 在检测到违反安全策略的条件时如何响应。

RHACS 允许您在开发生命周期的所有阶段强制实施安全策略：构建、部署和运行时。

RHACS 提供两种类型的策略强制：

有关准入控制器强制的更多信息，请参阅"了解准入控制器强制"。

...
admissionControl:
   namespaceSelector:
    matchExpressions:
    - key: namespace.metadata.stackrox.io/name
      operator: NotIn
      values:
        - stackrox
        - kube-system
        - kube-public
        - istio-system
        - example-namespace
...

...
admissionControl:
   namespaceSelector:
    matchExpressions:
    - key: namespace.metadata.stackrox.io/name
      operator: NotIn
      values:
        - stackrox
        - kube-system
        - kube-public
        - istio-system
        - example-namespace
...

RHACS 策略是结构化的文本对象，用于定义安全规则，以及当这些规则出现问题时 RHACS 执行的操作。

RHACS 策略包含以下部分：

策略管理 包括安全团队实施的一系列活动，以建立适当的保护rails。所有这些活动 在评估 策略之前发生。违反管理 是安全与开发人员团队所采取的一系列活动，以帮助解决安全事件以修复策略违反情况。所有这些活动在策略被违反后发生。

Red Hat Advanced Cluster Security for Kubernetes 中的默认安全策略提供了广泛的覆盖范围，以识别安全问题，并确保环境中安全性的最佳实践。通过配置这些策略，您可以自动防止环境中的高风险服务部署并对运行时安全事件做出响应。

有关按严重性分类的默认安全策略列表，请参阅 "Policy reference"。

使用 RHACS，您可以创建自定义安全策略在构建、部署和运行开发阶段提供安全性。您可以使用以下方法创建自定义安全策略：

如需更多信息，请参阅"创建和修改自定义安全策略"。

您可以通过导出和导入策略，在 RHACS 门户的不同 Central 实例间共享安全策略。共享策略可帮助您为所有集群强制执行相同的标准。要共享策略，您可以将它们导出为 JSON 文件，然后将它们导入另一个 Central 实例。