容器化云的概念并不是什么新鮮事物，而且如今已經(jīng)在市場(chǎng)上切實(shí)鋪開(kāi)、不斷普及。但大家有沒(méi)有想過(guò)，我們?cè)撛趺幢Ｗo(hù)這么多存放著關(guān)鍵資產(chǎn)的容器?它們不單承載著業(yè)務(wù)信息，同時(shí)也直接影響到客戶、合作伙伴及員工的安全態(tài)勢(shì)。

在本文中，我們將共同探索從部署到數(shù)據(jù)存儲(chǔ)階段的不同容器保護(hù)方法，了解如何保護(hù)數(shù)據(jù)、規(guī)避可能出現(xiàn)的網(wǎng)絡(luò)威脅。此外，我們還將探討一系列關(guān)于保護(hù)客戶信息和修復(fù)安全漏洞的好實(shí)踐。

安全注意事項(xiàng)

我們首先來(lái)看在創(chuàng)建容器化應(yīng)用程序時(shí)，需要關(guān)注的幾大主要云容器安全注意事項(xiàng)：

隔離

如果在云端運(yùn)行虛擬機(jī)(VM)，那么每個(gè)虛擬機(jī)只對(duì)應(yīng)一個(gè)應(yīng)用程序。虛擬機(jī)之間存在壁壘，共享任一虛擬機(jī)、不會(huì)對(duì)其他虛擬機(jī)造成任何影響。

容器與虛擬機(jī)有著很多相似特性，但容器更為輕巧，更適合托管那些由高度動(dòng)態(tài)的語(yǔ)言所編寫、在設(shè)計(jì)上強(qiáng)調(diào)在實(shí)時(shí)系統(tǒng)上部署的應(yīng)用程序。大家熟悉的Node.js、Ruby on Rails、Python以及PHP都屬于高動(dòng)態(tài)編程語(yǔ)言。

當(dāng)我們?cè)谔摂M機(jī)中創(chuàng)建容器時(shí)，該容器也處于隔離狀態(tài);如果需要將其部署在其他環(huán)境，則應(yīng)確保它與其他應(yīng)用程序互不干涉。另外請(qǐng)注意，單服務(wù)器部署相對(duì)簡(jiǎn)單;但如果出于共享目的而將容器部署在多臺(tái)服務(wù)器上，還需要考慮相應(yīng)的網(wǎng)絡(luò)問(wèn)題。

當(dāng)然，在虛擬機(jī)中運(yùn)行多個(gè)容器本身也頗具難度，在應(yīng)用程序體量較大時(shí)更是如此。為了隔離開(kāi)多個(gè)容器，必須單獨(dú)部署每個(gè)容器。換句話說(shuō)，應(yīng)用程序可能跟另一個(gè)不明來(lái)源的應(yīng)用程序同時(shí)運(yùn)行在同一臺(tái)主機(jī)之上。

安全部署

那我們?cè)撛趺幢Ｗo(hù)這些容器?在思考答案之前，首先要從不同的考量因素入手：

容器保護(hù)方面的另一大重點(diǎn)，在于云服務(wù)商有沒(méi)有切實(shí)貫徹安全措施。不少云服務(wù)商都有自己的一套產(chǎn)品和工具，所以在著手部署容器前必須先對(duì)現(xiàn)有安全方案開(kāi)展核查。

云服務(wù)商也是容器保護(hù)中的重要一環(huán)。他們可以分析應(yīng)用程序需要什么，再采取適當(dāng)?shù)姆椒右员Ｗo(hù)。有些云服務(wù)商還會(huì)把自己的一部分應(yīng)用程序部署在云端，借此衡量和驗(yàn)證自己的云安全措施。

配合來(lái)自云服務(wù)商的出色安全監(jiān)控與管理解決方案，可以更輕松地跟蹤容器內(nèi)的錯(cuò)誤配置或違規(guī)活動(dòng)。一旦發(fā)現(xiàn)問(wèn)題，優(yōu)秀的云服務(wù)商還能為我們提供可行的補(bǔ)救策略。

當(dāng)然，容器部署還只是開(kāi)始，持續(xù)監(jiān)控容器才能觀察其中是否存在安全或者配置問(wèn)題。

數(shù)據(jù)存儲(chǔ)

一說(shuō)起數(shù)據(jù)移動(dòng)，大家首先想到的往往是虛擬機(jī)或者文件系統(tǒng)。這些當(dāng)然重要，但還不夠全面。另一大重要考量因素在于容器數(shù)據(jù)的位置：位于容器自身、還是位于集群(運(yùn)行中的容器組)。如果不清楚數(shù)據(jù)存放在哪里，大家的安全保障工作恐怕將無(wú)從開(kāi)展。

數(shù)據(jù)存儲(chǔ)是保護(hù)容器時(shí)需要考慮的核心因素之一。

數(shù)據(jù)往往會(huì)被放置在虛擬機(jī)與主機(jī)系統(tǒng)相互隔離的位置。而在容器中，由于往往同時(shí)擁有多個(gè)容器實(shí)例，所以數(shù)據(jù)可能位于多個(gè)容器當(dāng)中;而且根據(jù)實(shí)際選定的數(shù)據(jù)模型，大家可以把數(shù)據(jù)安全存儲(chǔ)在主機(jī)上或者其他隔離度更高的位置。

當(dāng)創(chuàng)建新容器時(shí)，云服務(wù)商可以看到其中到底包含哪種數(shù)據(jù)類型。因此如果應(yīng)用程序運(yùn)行方式不夠安全，那么數(shù)據(jù)也可能面臨風(fēng)險(xiǎn)。所以在應(yīng)用程序設(shè)計(jì)中也應(yīng)考慮到云服務(wù)商的安全思路，確保容器數(shù)據(jù)安全可靠、不致意外泄露。

定義安全規(guī)則

如前文所述，安全規(guī)則也是容器部署中最重要的安全因素之一。在安全設(shè)計(jì)中，必須保證各項(xiàng)安全規(guī)則能夠準(zhǔn)確反映應(yīng)用程序需求與當(dāng)前數(shù)據(jù)模型。

下面來(lái)看部分安全規(guī)則示例：

定義窗口存儲(chǔ)的管理規(guī)則，特別是明確設(shè)定允許哪些容器訪問(wèn)存儲(chǔ)內(nèi)容(即容器數(shù)據(jù)訪問(wèn)控制列表，簡(jiǎn)稱CACL)。沒(méi)有容器規(guī)則的容器定義，不能算是完整的容器定義。

根據(jù)容器與應(yīng)用程序的實(shí)際需求，可以通過(guò)進(jìn)程管理器完成規(guī)則定義。您可以將此進(jìn)程管理器設(shè)置為容器擁有者，為其授予數(shù)據(jù)寫入以及從存儲(chǔ)處讀取數(shù)據(jù)的權(quán)限。

如果還有其他需要定義的安全規(guī)則，例如訪問(wèn)控制列表(ACL)或者基于角色的訪問(wèn)控制列表(RBACL)，也可以使用作為容器所有者的進(jìn)程管理器實(shí)現(xiàn)。以該管理器為載體的訪問(wèn)規(guī)則與身份管理，將為您的容器體系提供堅(jiān)實(shí)的安全支持。

文章標(biāo)題：容器云如何保護(hù)數(shù)據(jù)安全？
文章分享：http://www.rwnh.cn/news/204122.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供小程序開(kāi)發(fā)、做網(wǎng)站、企業(yè)建站、自適應(yīng)網(wǎng)站、用戶體驗(yàn)、電子商務(wù)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)