Zo sluit je jouw AKS hermetisch af voor hackers

Grote datalekken vliegen ons om de oren. Recent vond ik het meest indrukwekkend toch wel het Log4j-lek. Dat had zoveel impact dat verschillende sites wereldwijd er dagen uit lagen. De zwakste schakel? Niet de netwerkbeveiliging, maar onveilige software. Het bewijst maar weer eens hoe belangrijk het is om ook je software op verschillende niveaus te beschermen. En ja, iedereen die een productieomgeving draait weet dat je die moet beveiligen. Maar dat het met AKS op zóveel verschillende levels kan, weten veel developers niet.

Een van de nieuwste manieren om workload uit je AKS-cluster te identificeren is door het impersoneren binnen Pods met behulp van OpenID Connect (OIDC) en Azure Workload Identity. Hiermee kunnen Pods acteren binnen Azure als een managed identity. Doordat ze een managed identity zijn kun je veel gerichter de toegang van de Pods binnen Azure afschermen en heb je bovendien geen tokens meer nodig om de bronnen binnen Azure te mogen raadplegen.

Overigens is op moment van schrijven OIDC alleen nog als preview beschikbaar, maar de kans is groot dat wanneer jij dit leest OIDC gewoon te installeren is. Daarmee is het ook meteen een voorbeeld van hoe snel de beveiligingsopties van AKS veranderen.

Let wel op: omdat AKS aan de voorkant Kubernetes is, maar aan de achterkant bestaat uit native Azure-componenten, biedt dat veel speelruimte. Inclusief de ruimte om fouten te maken. Goede sources voor slimme beveiliging vind je bij Microsoft zelf, bijvoorbeeld informatie over network security, Kubernetes Secrets, build security en registry security. En vergeet ook niet alle andere beveiligingsopties, zoals pentesting, workspace en adequate logging. Je beveiliging is zo sterk als je zwakste schakel.

Op operationeel niveau is het noodzakelijk om er rekening mee te houden dat écht goede beveiliging op je AKS-cluster multidisciplinair is. Zo zijn netwerk- en softwarebeveiliging lang niet altijd bij dezelfde persoon belegd. Een goede overdracht of nauwe samenwerking met een netwerkbeheerder is essentieel.

Met mijn Tech Talk ben je voor nu op de hoogte van de beste beveiliging binnen AKS. Maar over niet al te lange tijd is het alweer oud nieuws. Zo bestonden de meeste opties die ik in mijn talk noem een jaar geleden nog niet eens. Hoe blijf je dan op de hoogte ondanks de snelle ontwikkelingen? Ik doe dat zelf met deze GitHub-groep van Microsoft. Hier houdt Microsoft dagelijks bij aan welke open issues ze voor AKS werken en worden releases traceerbaar. Een heel transparante en vrij vooruitstrevende manier om hun gebruikers in het proces mee te nemen. En dat leidt meteen tot de belangrijkste takeaway die ik mee wil geven: beveiliging van AKS is werkelijk op álle fronten mogelijk, ontzettend veranderlijk en alleen bij te houden door continu up-to-date te blijven.

Een échte deep dive in de huidige mogelijkheden om AKS te beveiligen? In zijn Tech Talk vertelt Joost je in ruim een half uur over de nieuwste beveiligingsopties. Van bescherming van je API-server, VNET en private endpoint tot je Key Vault, identities en containers.