01

[TOC]

Kubernetes 管理员认证 (CKA)

集群架构，安装和配置：25%

• 管理基于角色的访问控制（RBAC）

• 使用Kubeadm安装基本集群

• 管理高可用性的Kubernetes集群

• 设置基础架构以部署Kubernetes集群

• 使用Kubeadm在Kubernetes集群上执行版本升级

• 实施etcd备份和还原

工作负载和调度：15%

• 了解部署以及如何执行滚动更新和回滚

• 使用ConfigMaps和Secrets配置应用程序

• 了解如何扩展应用程序

• 了解用于创建健壮的、自修复的应用程序部署的原语

• 了解资源限制如何影响Pod调度

• 了解清单管理和通用模板工具

服务和网络：20%

• 了解集群节点上的主机网络配置

• 理解Pods之间的连通性

• 了解ClusterIP、NodePort、LoadBalancer服务类型和端点

• 了解如何使用入口控制器和入口资源

• 了解如何配置和使用CoreDNS

• 选择适当的容器网络接口插件

存储：10%

• 了解存储类、持久卷

• 了解卷模式、访问模式和卷回收策略

• 理解持久容量声明原语

• 了解如何配置具有持久性存储的应用程序

故障排除：30%

• 评估集群和节点日志

• 了解如何监视应用程序

• 管理容器标准输出和标准错误日志

• 解决应用程序故障

• 对群集组件故障进行故障排除

• 排除网络故障

Kubernetes安全专家认证 (CKS)

ibrahimjelliti/CKSS-Certified-Kubernetes-Security-Specialist: This repository is a collection of resources to prepare for the Certified Kubernetes Security Specialist (CKSS) exam. (github.com)

集群安装：10%

• [使用网络安全策略来限制集群级别的访问

  • 网络策略 | Kubernetes

  • 保护集群安全 | Kubernetes

  • 声明网络策略 | Kubernetes

  • Enforcing Network Policies in Kubernetes | Kubernetes

    3rd part resources:

  • Get started with Kubernetes network policy (projectcalico.org)

  • ahmetb/kubernetes-network-policy-recipes: Example recipes for Kubernetes Network Policies that you can just copy paste (github.com)

  • Kubernetes Network Policies Best Practices | Alcide

  • Exploring Network Policies in Kubernetes · Banzai Cloud

• 使用CIS基准检查Kubernetes组件(etcd, kubelet, kubedns, kubeapi)的安全配置

  • Kubernetes (cisecurity.org)
  • Center for Internet Security (CIS) Benchmarks - Microsoft Compliance | Microsoft Docs
  • aquasecurity/kube-bench: Checks whether Kubernetes is deployed according to security best practices as defined in the CIS Kubernetes Benchmark (github.com)

• 正确设置带有安全控制的Ingress对象

  • Ingress | Kubernetes
  • Ingress Controllers | Kubernetes
  • Set up Ingress on Minikube with the NGINX Ingress Controller | Kubernetes
  • Ingress | Kubernetes

• 保护节点元数据和端点

• 最小化GUI元素的使用和访问

• 在部署之前验证平台二进制文件

集群强化：15%

• 限制访问Kubernetes API
• 使用基于角色的访问控制来最小化暴露
• 谨慎使用服务帐户，例如禁用默认设置，减少新创建帐户的权限
• 经常更新Kubernetes

系统强化：15%

• 最小化主机操作系统的大小(减少攻击面)
• 最小化IAM角色
• 最小化对网络的外部访问
• 适当使用内核强化工具，如AppArmor, seccomp

微服务漏洞最小化：20%

• 设置适当的OS级安全域，例如使用PSP, OPA，安全上下文
• 管理Kubernetes机密
• 在多租户环境中使用容器运行时 (例如gvisor, kata容器)
• 使用mTLS实现Pod对Pod加密

供应链安全：20%

• 最小化基本镜像大小
• 保护您的供应链：将允许的注册表列入白名单，对镜像进行签名和验证
• 使用用户工作负载的静态分析(例如kubernetes资源，Docker文件)
• 扫描镜像，找出已知的漏洞

监控、日志记录和运行时安全：20%

• 在主机和容器级别执行系统调用进程和文件活动的行为分析，以检测恶意活动
• 检测物理基础架构，应用程序，网络，数据，用户和工作负载中的威胁
• 检测攻击的所有阶段，无论它发生在哪里，如何扩散
• 对环境中的不良行为者进行深入的分析调查和识别
• 确保容器在运行时不变
• 使用审计日志来监视访问

Kubernetes 应用程序开发者认证 (CKAD)

核心概念 - 13％

• 了解Kubernetes API原语

• 创建和配置基本窗格

配置 - 18％

• 了解ConfigMaps

• 了解SecurityContexts

• 定义应用程序的资源需求

• 创造和消费秘密

• 了解ServiceAccounts

Multi-Container Pods - 10％

• 了解Multi-Container Pod设计模式（例如，大使，适配器，边车）

可观察性 - 18％

• 了解LivenessProbes和ReadinessProbes

• 了解容器日志记录

• 了解如何监控Kubernetes中的应用程序

• 了解Kubernetes中的调试

Pod设计 - 20％

• 了解如何使用标签，选择器和注释

• 了解部署以及如何执行滚动更新

• 了解部署以及如何执行回滚

• 了解Jobs和CronJobs

服务与网络 - 13％

• 了解服务

• 展示对NetworkPolicies的基本了解

持续状态 - 8％