Pod Security Policies

1. سياسات أمان Pod

سياسات أمان Pod (Pod Security Policies - PSPs) هي آلية في نظام Kubernetes تسمح للمسؤولين بالتحكم في الأمان الذي يمكن أن تتطلبه الـ Pods (وحدات النشر) في مجموعتهم. توفر PSPs طريقة لفرض قيود على جوانب مختلفة من الـ Pods، مثل امتيازات المستخدم، والوصول إلى نظام الملفات، واستخدام مساحات الاسم، وغيرها. على الرغم من أن PSPs قد تم إيقافها لصالح Pod Security Admission، إلا أن فهمها ضروري لفهم تطور سياسات الأمان في Kubernetes ولإدارة الأنظمة القديمة.

خلفية عن أمان Pod

في Kubernetes، الـ Pods هي أصغر وحدة نشر قابلة للتطبيق. تحتوي كل Pod على واحد أو أكثر من الحاويات (Containers) التي تشترك في موارد الشبكة والتخزين. بسبب هذا، فإن أمان الـ Pods أمر بالغ الأهمية لأمان المجموعة بأكملها. إذا تم اختراق Pod، فقد يتمكن المهاجم من الوصول إلى موارد أخرى في المجموعة.

قبل PSPs، كان لدى المسؤولين القليل من الطرق لفرض قيود أمنية على الـ Pods. كان بإمكانهم استخدام RBAC (التحكم في الوصول المستند إلى الدور) للتحكم في من يمكنه إنشاء Pods، ولكن لم يكن بإمكانهم التحكم في ما يمكن أن تفعله Pods بمجرد إنشائها. قدمت PSPs حلاً لهذه المشكلة.

ما هي سياسات أمان Pod؟

PSPs هي موارد Kubernetes تحدد مجموعة من الشروط التي يجب أن تستوفيها الـ Pods حتى يتم إنشاؤها أو تحديثها. يمكن أن تتضمن هذه الشروط قيودًا على:

المستخدم والمجموعة: تحديد المستخدم والمجموعة اللذين يجب أن يتم تشغيل الحاويات بهما. يمكن استخدام هذا لمنع الحاويات من التشغيل بامتيازات الجذر. انظر أيضاً إلى أمان الحاويات.
القدرات (Capabilities): تحديد القدرات التي يجب أن تمتلكها الحاويات. القدرات هي مجموعة فرعية من امتيازات الجذر التي يمكن منحها للحاويات دون منحها امتيازات الجذر الكاملة. على سبيل المثال، يمكن منح حاوية القدرة على فتح منافذ الشبكة دون منحها القدرة على تعديل نظام الملفات. راجع Linux Capabilities لفهم أعمق.
مجلدات الوصول (Volume Access): تحديد أنواع مجلدات الوصول التي يمكن أن تستخدمها الحاويات. يمكن استخدام هذا لمنع الحاويات من الوصول إلى مجلدات حساسة. مثل Persistent Volumes و Secret Volumes.
شبكة الوصول (Network Access): تحديد أنواع الوصول إلى الشبكة التي يمكن أن تستخدمها الحاويات. يمكن استخدام هذا لمنع الحاويات من الوصول إلى الشبكات غير المصرح بها. استكشف Network Policies.
مساحات الاسم (Namespaces): تحديد مساحات الاسم التي يمكن أن يتم نشر الـ Pods فيها. يمكن استخدام هذا لعزل التطبيقات عن بعضها البعض. فهم Kubernetes Namespaces.
SELinux: تحديد سياق SELinux الذي يجب أن يتم تشغيل الحاويات به. SELinux هي آلية أمان Linux توفر تحكمًا دقيقًا في الوصول إلى الموارد. تعرف على AppArmor أيضاً.
جداول المستخدم (User ID Ranges): تحديد نطاقات معرّفات المستخدم (UIDs) التي يمكن استخدامها داخل الحاويات. هذا يساعد في منع تصعيد الامتيازات.

أنواع سياسات أمان Pod

هناك ثلاثة أنواع رئيسية من PSPs:

Privileged: تسمح بجميع أنواع الوصول. يجب استخدام هذا النوع فقط في الحالات التي يكون فيها الوصول غير المقيد ضروريًا. هذا النوع يمثل خطراً أمنياً كبيراً.
Baseline: توفر مجموعة من القيود الأساسية التي تمنع معظم أنواع الوصول غير المصرح به. هذا النوع هو نقطة انطلاق جيدة لمعظم البيئات. يعتبر أكثر أمانًا من النوع Privileged.
Restricted: توفر مجموعة صارمة من القيود التي تمنع جميع أنواع الوصول غير المصرح به تقريبًا. هذا النوع مناسب للبيئات التي تتطلب مستوى عالٍ من الأمان. غالباً ما يستخدم في البيئات الإنتاجية.

إنشاء سياسة أمان Pod

لإنشاء PSP، يمكنك استخدام ملف YAML. إليك مثال بسيط لـ PSP يسمح فقط للحاويات بالتشغيل كمستخدم غير جذر:

```yaml apiVersion: policy/v1beta1 kind: PodSecurityPolicy metadata:

 name: non-root-user

spec:

 privileged: false
 allowedUsers:
 - name: "1000"
   uid: "1000"

```

هذا الـ PSP يمنع الحاويات من التشغيل كمستخدم جذر. يمكنك تطبيق هذا الـ PSP على مساحة اسم معينة باستخدام تعليق توضيحي (annotation) على مساحة الاسم.

تطبيق سياسات أمان Pod

هناك طريقتان رئيسيتان لتطبيق PSPs:

تطبيق على مستوى المجموعة (Cluster-wide): يتم تطبيق الـ PSP على جميع مساحات الاسم في المجموعة. هذا هو أبسط طريقة لتطبيق PSPs، ولكنه قد لا يكون مناسبًا لجميع البيئات.
تطبيق على مستوى مساحة الاسم (Namespace-level): يتم تطبيق الـ PSP على مساحة اسم معينة. هذا يوفر المزيد من المرونة، ولكنه يتطلب المزيد من العمل لتكوينه.

لتطبيق PSP على مستوى مساحة الاسم، يمكنك إضافة تعليق توضيحي (annotation) إلى مساحة الاسم:

```yaml apiVersion: v1 kind: Namespace metadata:

 name: my-namespace
 annotations:
   pod-security.kubernetes.io/enforce: non-root-user

```

هذا سيفرض الـ PSP المسمى "non-root-user" على جميع الـ Pods التي يتم إنشاؤها في مساحة الاسم "my-namespace".

التحقق من الامتثال لسياسات أمان Pod

يمكنك استخدام أداة مثل kube-score للتحقق من امتثال الـ Pods لـ PSPs. تقوم kube-score بتحليل تعريفات الـ Pods وتحديد أي انتهاكات لـ PSPs.

القيود والعيوب

على الرغم من أن PSPs كانت أداة قوية، إلا أنها كانت تعاني من بعض القيود:

التعقيد: يمكن أن تكون PSPs معقدة لتكوينها وإدارتها.
نطاق التطبيق: كان نطاق تطبيق PSPs محدودًا. لم يكن من الممكن تطبيقها على أنواع موارد Kubernetes الأخرى.
الإيقاف: تم إيقاف PSPs في Kubernetes 1.25 لصالح Pod Security Admission.

الانتقال إلى Pod Security Admission

Pod Security Admission هي الطريقة الموصى بها حاليًا لفرض سياسات الأمان على الـ Pods في Kubernetes. توفر PSA مجموعة من الميزات التي تتجاوز PSPs، بما في ذلك:

البساطة: PSA أسهل في التكوين والإدارة من PSPs.
نطاق التطبيق الأوسع: يمكن لـ PSA تطبيق السياسات على جميع أنواع موارد Kubernetes.
التكامل مع أدوات Kubernetes الأخرى: PSA تتكامل بشكل أفضل مع أدوات Kubernetes الأخرى، مثل Admission Controllers.

استراتيجيات الخيارات الثنائية المتعلقة بأمان Kubernetes

على الرغم من أن هذا المقال يركز على PSPs، إلا أن هناك العديد من استراتيجيات الخيارات الثنائية التي يمكن استخدامها بالتزامن مع سياسات الأمان في Kubernetes:

استراتيجية الاتجاه (Trend Following): مراقبة اتجاهات الأمان (مثل عدد الثغرات الأمنية المكتشفة) واتخاذ قرارات بناءً على هذا الاتجاه.
استراتيجية الاختراق (Breakout): محاولة تحديد نقاط الضعف الأمنية في الـ Pods قبل أن يتمكن المهاجمون من استغلالها. يشبه هذا اختبار الاختراق.
استراتيجية المتابعة (Follow the Leader): اتباع أفضل الممارسات الأمنية التي توصي بها الشركات الرائدة في مجال Kubernetes.
استراتيجية المضاربة (Speculation): المضاربة على احتمالية حدوث خرق أمني واتخاذ الإجراءات الوقائية.
استراتيجية النطاق السعري (Range Trading): تحديد نطاق مقبول من المخاطر الأمنية واتخاذ الإجراءات اللازمة إذا تجاوزت المخاطر هذا النطاق.
تحليل حجم التداول (Volume Analysis): مراقبة حجم البيانات التي يتم نقلها عبر الشبكة لتحديد أي أنشطة غير عادية قد تشير إلى هجوم.
تحليل فني (Technical Analysis): استخدام أدوات التحليل الفني لتحديد نقاط الضعف الأمنية في الـ Pods.
مؤشر القوة النسبية (Relative Strength Index - RSI): استخدام RSI لتحديد ما إذا كانت سياسات الأمان الحالية قوية بما يكفي لحماية الـ Pods.
المتوسط المتحرك (Moving Average): استخدام المتوسط المتحرك لمراقبة اتجاهات الأمان وتحديد أي تغييرات كبيرة.
خطوط بولينجر (Bollinger Bands): استخدام خطوط بولينجر لتحديد ما إذا كانت المخاطر الأمنية ضمن النطاق الطبيعي أم لا.
استراتيجية مارتينجال (Martingale Strategy): (تحذير: عالية المخاطر) زيادة مستوى الأمان بشكل مضاعف بعد كل خرق أمني.
استراتيجية فيبوناتشي (Fibonacci Strategy): استخدام تسلسل فيبوناتشي لتحديد مستويات الدعم والمقاومة للمخاطر الأمنية.
استراتيجية Ichimoku Cloud: استخدام Ichimoku Cloud لتحديد اتجاهات الأمان ومستويات الدعم والمقاومة.
استراتيجية MACD: استخدام MACD لتحديد زخم الأمان وتحديد نقاط الدخول والخروج.
استراتيجية Parabolic SAR: استخدام Parabolic SAR لتحديد نقاط الارتداد المحتملة في اتجاهات الأمان.
استراتيجية Stochastics: استخدام Stochastics لتحديد ما إذا كانت سياسات الأمان مشبعة بالشراء أم بالبيع.
استراتيجية Pivot Points: استخدام Pivot Points لتحديد مستويات الدعم والمقاومة الرئيسية للمخاطر الأمنية.
استراتيجية Donchian Channels: استخدام Donchian Channels لتحديد النطاقات السعرية العالية والمنخفضة للمخاطر الأمنية.
استراتيجية Keltner Channels: استخدام Keltner Channels لتحديد تقلبات المخاطر الأمنية.
استراتيجية Heikin Ashi: استخدام Heikin Ashi لتصفية الضوضاء في بيانات الأمان وتحديد الاتجاهات.
استراتيجية Aroon Indicators: استخدام Aroon Indicators لتحديد قوة الاتجاهات الأمنية.
استراتيجية Chaikin Money Flow: استخدام Chaikin Money Flow لتحديد تدفق الأموال داخل وخارج النظام الأمني.
استراتيجية Accumulation/Distribution Line: استخدام Accumulation/Distribution Line لتحديد قوة الشراء والبيع في النظام الأمني.

الخلاصة

كانت PSPs أداة مهمة في Kubernetes لتأمين الـ Pods. ومع ذلك، فقد تم إيقافها لصالح Pod Security Admission. يجب على المسؤولين الانتقال إلى PSA لضمان أن مجموعاتهم آمنة. فهم مبادئ PSPs يساعد في فهم PSA وتطبيقاته بشكل أفضل. تذكر دائماً أن الأمان هو عملية مستمرة وليست مجرد تكوين لمرة واحدة. يجب عليك مراجعة وتحديث سياسات الأمان الخاصة بك بانتظام للتأكد من أنها فعالة.

ابدأ التداول الآن

سجّل في IQ Option (الحد الأدنى للإيداع 10 دولار) افتح حساباً في Pocket Option (الحد الأدنى للإيداع 5 دولار)

انضم إلى مجتمعنا

اشترك في قناة Telegram الخاصة بنا @strategybin لتصلك: ✓ إشارات تداول يومية ✓ تحليلات استراتيجية حصرية ✓ تنبيهات اتجاهات السوق ✓ مواد تعليمية للمبتدئين