更新时间:2023-06-28 GMT+08:00

CCE集群选用建议

基于安全责任共担模式,CCE服务确保集群内master节点和CCE自身组件的安全,并在集群、容器级别提供一系列的层次化的安全能力,而用户则负责集群Node节点的安全并遵循CCE服务提供的安全最佳实践,做好安全配置和运维。

CCE服务的应用场景

云容器引擎是基于业界主流的Docker和Kubernetes开源技术构建的容器服务,提供众多契合企业大规模容器集群场景的功能,在系统可靠性、高性能、开源社区兼容性等多个方面具有独特的优势,满足企业在构建容器云方面的各种需求。

CCE梳理了产品的功能列表和典型的应用场景,功能列表参见功能总览,应用场景参见应用场景

集群不建议在要求强资源隔离的场景下使用

CCE给租户提供的是一个专属的独享集群,由于节点、网络等资源当前没有严格的隔离,在集群同时被多个外部不可控用户使用时,如果安全防护措施不严,就会存在较大的安全隐患。比如开发流水线场景,当允许多用户使用时,不同用户的业务代码逻辑不可控,存在集群以及集群下的其它服务被攻击的风险。

启用企业主机安全服务(HSS)

企业主机安全服务(HSS)拥有主机管理、风险预防、入侵检测、高级防御、安全运营、网页防篡改功能,能够全面识别并管理主机中的信息资产,实时监测主机中的风险并阻止非法入侵行为。推荐启用HSS服务保护用户CCE集群下的主机。HSS服务以及使用方法请参考企业主机安全 HSS

启用容器安全服务(CGS)

用户使用CCE时,配合使用容器安全服务(CGS)服务,该服务能够扫描镜像中的漏洞与配置信息,帮助用户解决传统安全软件无法感知容器环境的问题;同时提供容器进程白名单、文件只读保护和容器逃逸检测功能,有效防止容器运行时安全风险事件的发生。CGS服务介绍以及使用方法请参考容器安全服务 CGS