如何验证 Kubernetes YAML 文件

news2025/2/27 5:50:20

原文出自：Armo’s blog 原文作者：Bezalel Brandwinen,，Team Lead at Armo Ltd

Kubernetes 在我们现在如何管理容器化应用程序方面占据了中心位置。因此，存在许多定义我们的的协议，包括、JSON、INI 等结构。

这使得我们会去考虑，什么是我们的应用程序应遵循的最佳策略。此外，我们还必须清楚，如何根据我们在文件结构，特别是安全性方面，选择路径来验证我们的应用程序配置。

在本文中，我们将探索如何使用 YAML 配置定义 Kubernetes 应用程序，以及哪些是我们可以采取的步骤，来有效验证这些配置定义。

YAML 中的 Kubernetes 配置定义

与 JSON 和 INI 相比， YAML更加紧凑和可读。比如我们定义一个80端口可以访问的pod，那么YAML、JSON、INI中的配置如下表所示：
YAML 中的 Kubernetes 配置定义

很明显，YAML 简化了我们定义 Kubernetes 应用程序的方式，特别是考虑到一个普通的应用程序可能涉及数十个配置文件。此外，YAML 的紧凑特性允许您将对象组合在一起，从而减少所需文件的数量。

但是，定义我们的 Kubernetes 配置文件存在重大挑战，尤其是在尝试在清单文件之间嵌入约束和关系时。例如，我们如何确保内存限制配置为遵循最佳实践？

当遇到边缘情况时，缺乏验证不仅会导致我们的应用程序出现意外，而且还会暴露主要的安全漏洞。因此，我们有必要考虑基于 YAML 的配置文件的验证策略，这就是我们将在以下部分中深入探讨的内容。

验证的各个方面

应该对我们的 YAML 文件执行三个级别的验证。这些级别确保根据 YAML 文件的实际有效性执行验证，一直到是否满足安全实践。

第一级是结构验证，这是对 Kubernetes 配置文件进行的最高级别的验证。它涉及简单地验证 YAML 文件，以确保在编写它时没有语法错误。这是编写配置文件时使用的 IDE 可以验证的内容。

第二层是语义验证，这确保 YAML 文件的内容转换为所需的 Kubernetes 资源，从而验证 Kubernetes 应用程序本身。

第三个是最深层次的验证，安全验证，以确保定义的 Kubernetes 应用程序没有任何漏洞。我们可能已经成功地编写了以成功实现所需的 Kubernetes 资源和连接，但这并不能确保我们的 Kubernetes 应用程序得到很好的保护并遵循最佳实践。上面最后两个验证都是Kubernetes配置验证，并不仅仅在方面。由于它们是特定于应用程序的验证，因此专门的诊断是必要的。执行此类验证需要 Kubernetes 领域的深入专业知识，我们将简要介绍如何使用 Kubernetes 领域专家开发的工具轻松处理它们。

例如，锁定 hostPath 挂载权限可确保集群中具有可写 hostPath 卷的容器不会被攻击者访问，因为他们可能会在底层主机上获得持久性。这不符合安全最佳实践，为避免此问题，我们应始终确保将 hostPath 属性下的readOnly 部分设置为 true。

另一个示例是仅在必要时授予 hostNetwork 对 pod 的访问权限。所有具有访问权限的 pod 也应列入白名单。对主机网络的不必要访问增加了潜在的攻击面。

所以，从上面两个例子可以看出，即使我们的配置文件通过了结构和语义验证，促使我们的 Kubernetes 资源被成功编排，但安全和功能漏洞仍然可能存在。因此，我们必须考虑如何最好地捕获这些漏洞，然后再提醒生产中的后果。安全验证是执行此操作的方法。

另一个示例是仅在必要时授予 hostNetwork 对 pod 的访问权限。所有具有访问权限的 pod 也应列入白名单。对主机网络的不必要访问增加了潜在的攻击面。

所以，从上面两个例子可以看出，即使我们的配置文件通过了结构和语义验证，导致我们的 Kubernetes 资源被成功编排，安全和功能漏洞仍然可能存在。因此，我们必须考虑如何最好地捕获这些漏洞，然后再提醒生产中的后果。安全验证是执行此操作的方法。

验证和最佳实践

考虑到结构验证相当简单，可以预期可用的工具目前是可以在您的 IDE 中轻松获得。Kubernetes 语义和安全验证需要更多的努力，尤其是在策略和工具方面。

让我们考虑一些最佳实践和策略，这些实践和策略需要实现对我们的 YAML 文件的整体验证。

始终左移

我们可能总是验证我们的 K8s 配置，即使我们已经使用 Kubescape 等工具将它们部署在集群中，但“左移”总是更好。左移是一个在过去五六年里火了起来的词，这是理所当然的。您希望使验证更接近应用程序的交付和构建阶段。

例如，语义验证是 Kubernetes 本身可以处理的事情。但是，当您将其交给 Kubernetes 处理时，为时已晚。

您可以执行空运行 ( kubectl apply -f --dry-run=‘server’’) 来验证语义结构，但这仍然是一个额外的步骤，可能会降低您的整体速度。但是，试运行需要您有权访问 Kubernetes 集群。

这种方法的替代方法是 Kubeval，这是一个了不起的工具，可用于验证您的配置文件语义以确保它们满足 Kubernetes 的对象定义要求。它可以成为您的 CI 过程的一部分并在本地执行扫描，从而确保您在投入生产之前从语义上验证您的配置文件。

还可以使用 Kubescape在 CI 中实现安全验证。这是一个开源工具，可确保您的 Kubernetes 应用程序定义遵循多个安全框架，例如 NSA-CISA 或 MITRE ATT&CK®。通过使用 Kubescape CLI，您可以扫描所有 YAML 文件以查找安全漏洞，甚至可以获得风险评分和风险趋势。它充当 YAML 验证器，其主要价值是安全验证。