K8S 的 API server 暴露在公网运维管理的安全性

[ghostheaven]

阿里云的 K8S 服务可以直接把 API server 暴露在公网上，这种方式安全吗？如果不安全的话，推荐什么样的方式管理？ VPN 或 /和堡垒吗？

[optional]

理论上说证书不泄露问题不大。
但是谁不把它放在防火墙后面，出问题谁背锅。

[ghostheaven]

@optional 那我就放心了，用的是 serverless 的集群，API 服务是通过负载均衡暴露出来的。

[joesonw]

@optional AWS 的做法感觉更好, 用的 aws 自己的认证 cli, 然后生成临时 token 用于访问.

- name: arn:aws:eks:xxxx:cluster/yyy
user:
exec:
apiVersion: client.authentication.k8s.io/v1alpha1
args:
- token
- -i
- prod
command: aws-iam-authenticator
env: null

[allposs]

可以对 api 的访问进行鉴权，可以了解一下 AuthN/AuthZ