阿里云負責

首先在管控面側，阿里云會通過完備的平臺安全能力負責管控側基礎設施（包括計算、存儲、網絡等云服務資源）的安全性；同時基于阿里云OS安全加固等業務通用的安全標準基線，對ACK集群管控面組件配置和鏡像進行符合標準定義的安全加固。針對集群節點OS或K8s組件層面的安全漏洞，阿里云會負責及時提供相關公告并發布對應的漏洞補丁或版本更新能力。同時阿里云會面向企業云原生應用生命周期中安全防護的典型場景，提供必要的安全防護功能和最佳實踐指導。

客戶負責

客戶的安全管理運維人員需要負責部署在云上的業務應用安全防護以及對云上資源的安全配置和更新，包含以下內容：

• 基于阿里云公告和提供的補丁或版本升級方式及時進行OS、集群側系統組件、運行時等漏洞的修復和版本更新。

• 遵循安全原則進行ACK集群、節點池和網絡等參數配置，避免因為不當的參數或權限配置給攻擊者可乘之機。

• 基于使用需求，遵循權限最小化原則進行應用或賬號、角色的授權，憑據的管理，相關安全策略的部署實施以及應用自身參數配置安全。

• 負責應用制品的供應鏈安全。

• 負責應用敏感數據和應用運行時刻的安全。

• 對于離職員工或非受信人員，刪除RAM用戶或RAM角色并不會同步刪除該用戶或角色擁有的集群KubeConfig中的RBAC權限。因此，在刪除RAM用戶或RAM角色之前，請吊銷離職員工或非受信用戶的KubeConfig權限。具體操作，請參見吊銷集群的KubeConfig憑證。

理解責任共擔模型

在您設計和部署企業應用系統之前，請您充分理解企業自身和阿里云的安全責任邊界。

ACK托管架構下集群安全的責任共擔模型如下圖所示。

當您選擇使用ACK Serverless集群或在ACK托管集群中部署虛擬節點組件（ack-virtual-node）時，除了集群控制面和基礎設施安全外，阿里云還將負責Pod底層彈性容器實例（ECI）運行時的安全，由客戶負責重建應用Pod以使修復生效。下圖為Serverless架構下使用ACK Serverless集群或在ACK托管集群中部署虛擬節點組件（ack-virtual-node）時的安全責任共擔模型。

對于使用托管節點池的ACK集群，阿里云會負責根據客戶對于托管節點池的配置嘗試自動化的修復節點OS漏洞和Kubelet版本升級，其中，節點OS漏洞的修復補丁由云安全中心提供。如果集群節點使用的是自定義OS鏡像，仍需要由客戶負責節點漏洞的修復更新。下圖為托管架構下ACK集群使用托管節點池時的安全責任共擔模型。