Amazon EKS отримав архітектуру захисту протоколів ADB і WebRTC через mTLS

Протоколи Android Debug Bridge (ADB) та Web Real-Time Communication (WebRTC) за замовчуванням не підтримують корпоративну автентифікацію на зразок JWT і передають дані без шифрування. У спільних кластерах Amazon Elastic Kubernetes Service (Amazon EKS) це створює безпекові ризики, оскільки поди мають прямий мережевий доступ до відкритих портів інших орендарів без спеціальних правил NetworkPolicy. AWS представила підхід для ізоляції таких протоколів без потреби модифікувати кожен із них окремо.

Проблеми попередньої схеми з бастіоном і STUNner

Раніше для доступу до віртуальних Android-пристроїв Cuttlefish у контейнерах використовувалася схема з bastion-хостом і прокиданням портів через API-сервер EKS. Такий підхід мав суттєві обмеження: одночасні сесії перевантажували керуючий контур кластера, інсталяція застосунків тривала 3–4 хвилини, а затримка виконання окремих команд ADB сягала 1–2 секунд.

Для медіапотоків WebRTC раніше застосовувався відкритий шлюз STUNner. Він вимагав створення власного сервісу конвертації токенів IdP у TURN-обліковки, спричиняв розриви з'єднань під час пікових навантажень і змушував вручну оновлювати маршрутизацію у разі міграції подів між зонами доступності (Availability Zones).

Нова архітектура: шлюзи mTLS та сервіси AWS

Нове рішення базується на трьох основних повторно використовуваних компонентах:

• Envoy Gateway на рівні неймспейсів: кожен простір імен отримує власний шлюз для проксування TCP-трафіку з автентифікацією mTLS. Він пропускає запити лише до подів свого неймспейсу, а політики NetworkPolicy за замовчуванням блокують весь інший вхідний трафік.
• Автоматизована ротація сертифікатів: плагін cert-manager разом із кластерним емітентом AWSPCAClusterIssuer генерує приватні сертифікати через AWS Private CA. Вони видаються на 12 годин і автоматично оновлюються кожні 4 години (після двох третин строку дії). Envoy Gateway підхоплює їх через Secret Discovery Service без перезавантаження подів.
• Керований медіа-реле Kinesis Video Streams: хмарний сервіс замінив STUNner, забезпечивши підтримку STUN/TURN із нативною інтеграцією з AWS Identity and Access Management (IAM), що зняло потребу в саморобних проміжних сервісах обміну токенів.

Сесійний ланцюжок починається з користувацького REST API під захистом AWS WAF. API перевіряє корпоративний JWT через провайдера ідентифікації (IdP), фіксує сесію в аудит-логах за допомогою RoleSessionName у AWS STS та повертає клієнтському CLI сертифікат для встановлення mTLS-з'єднання з відповідним Envoy Gateway.

Результати продуктивності та застосування до інших стеків

Перехід на пряме проксування через Envoy дав відчутний приріст швидкості: накладні витрати шлюзу на виконання команд ADB знизилися до менш ніж 50 мс (загальний час менше 100 мс), а тривалість встановлення застосунків зменшилася з кількох хвилин до менш ніж 30 секунд.

За даними інженерів, архітектурний патерн із винесенням mTLS на Envoy Gateway підходить і для інших TCP-протоколів без корпоративної автентифікації — зокрема VNC, RDP, MQTT та SIP.