Nội dung báo cáo

Bối cảnh và Bài toán

Mục tiêu Đề tài

Phạm vi Nghiên cứu

Cơ sở Lý thuyết cốt lõi

Hệ thống được thiết kế dựa trên 3 nền tảng nguyên lý khoa học an ninh và vận hành hiện đại:

Các công nghệ Sử dụng

Container Engine

Orchestration

CI/CD Platform

GitOps Sync

Image Registry

Secrets Manager

Metrics Collector

Visualization

Cloud Computing

Logging Platform

Phân tích Yêu cầu Hệ thống

Kiến trúc tổng thể Luồng phát triển (GitOps Flow)

Luồng đi của một commit thay đổi từ nhà phát triển cho đến khi được chạy thực tế trên Kubernetes:

Chiến lược phân nhánh Git và Quy trình kích hoạt (Git Workflow)

Quy trình quản lý mã nguồn nghiêm ngặt, kết hợp chốt chặn an toàn kiểm soát tự động theo từng môi trường hạ tầng:

🛠️ Nhánh feature/* & develop DEV ENV

- Trigger: Tự động kích hoạt khi có Event Commit hoặc Merge Request thành công vào develop.
- Security Gate: Quét, phân tích mã tĩnh SAST (SonarQube). Cảnh báo nếu phát hiện rò rỉ secret.

🧪 Nhánh release/* UAT ENV

- Trigger: Đóng băng code, tạo nhánh release độc lập để kiểm thử tích hợp và hiệu năng hệ thống.
- Security Gate: Kích hoạt quét thành phần phụ thuộc SCA (Trivy), rà soát toàn diện CVE hệ điều hành của Container Image.

🚀 Nhánh main & hotfix PROD ENV

- Trigger: Khóa cứng nhánh chính. Chỉ kích hoạt nạp GitOps khi có hành động định danh gắn thẻ phiên bản (Tagging v1.x).
- Security Gate: Thực thi nghiêm ngặt cơ chế phê duyệt thủ công (Manual Approval), ký số xác thực tính toàn vẹn của Image.

Kiến trúc đa cụm Multi-Cluster K8s (Hub-and-Spoke)

Kiến trúc Mạng Luồng dữ liệu (Traffic Flow)

🛡️

Lớp mạng Cilium CNI (eBPF)

Sử dụng công nghệ nền tảng **eBPF (Extended Berkeley Packet Filter)** tiên tiến của Cilium để thực thi các chính sách an ninh mạng bảo mật ở mức nhân hệ điều hành (Kernel-level) với hiệu năng xử lý cực cao. Hệ thống cho phép kiểm soát, phân tách và cô lập hoàn toàn luồng giao tiếp mạng giữa các Namespace và Workload Pods khác nhau bên trong cụm.

🔐

Kiểm soát an toàn cổng Cơ sở dữ liệu

Hệ quản trị cơ sở dữ liệu quan hệ được cô lập hoàn toàn ngoài cụm **(Off-cluster Database trên AWS RDS Private Subnet)**. Định cấu hình tường lửa lớp mạng chỉ cho phép duy nhất dải IP/Subnet định danh của cụm Kubernetes nội bộ kết nối đến qua cổng dịch vụ, bắt buộc thực thi mã hóa dữ liệu đường truyền đầu cuối bằng giao thức **SSL/TLS**.

Kiến trúc Triển khai Hạ tầng thực tế trên AWS

Thành phần hạ tầng	Dịch vụ triển khai
K8s Orchestration	Amazon EKS Cluster
Compute Nodes	EC2 Worker Nodes
Relational Database	Amazon RDS MySQL
Traffic Routing	AWS Route 53 & ALB

Thiết kế Multi-AZ & Defense Shield

- Phân tách phân vùng mạng: Đẩy toàn bộ cụm Amazon EKS và RDS MySQL vào vùng mạng cô lập Private Subnets, chỉ để lộ cổng điều phối Application Load Balancer (ALB) ra ngoài lớp Public để tiếp nhận traffic.

- Chốt chặn an ninh tích hợp: Triển khai lá chắn AWS WAF ngay tại biên Internet Gateway để lọc mã độc. Toàn bộ thông tin kết nối CSDL nhạy cảm được quản lý tự động qua AWS Secrets Manager và mã hóa lưu trữ thông qua khóa mã hóa phần cứng AWS KMS.

Quy trình DevSecOps Pipeline S-Flow

Quy trình CI/CD tích hợp bảo mật Shift-Left, quét lỗ hổng tự động khép kín từ mã nguồn đến hạ tầng đích:

Kiến trúc cơ chế GitOps Workflow (Push vs Pull)

Chiến lược quản trị Repository Hệ thống

Kiến trúc bảo mật chiều sâu Defense in Depth

Mô hình phòng thủ bảo mật chiều sâu 5 lớp bao bọc toàn diện hệ thống hạ tầng và dữ liệu ứng dụng:

Quản trị Bí mật với Vault & ESO

IAM và Bảo mật Cơ sở dữ liệu

👥

AWS IRSA (IAM Roles for Service Accounts)

Mục tiêu cốt lõi: Cấp quyền truy cập tài nguyên AWS bảo mật cho Pod theo thời gian thực mà hoàn toàn không cần lưu trữ thông tin Access Key / Secret Key tĩnh trong mã nguồn.

1. Định danh cấp Pod:
Liên kết trực tiếp Kubernetes Service Account với AWS IAM Role.

2. Quyền hạn tạm thời:
Ứng dụng nhận token ngắn hạn tự động thông qua dịch vụ AWS STS.

🔐

Bảo mật CSDL & Mã hóa (Encryption)

Mục tiêu cốt lõi: Thiết lập chuỗi rào chắn bảo vệ toàn vẹn dữ liệu bên trong RDS một cách chủ động từ tầng lưu trữ tĩnh, truyền tải mạng cho đến dải mạng nội bộ.

1. At-Rest & In-Transit:
Mã hóa dữ liệu RDS qua AWS KMS và bắt buộc truyền tải bằng SSL/TLS.

2. Network Isolation:
Cô lập Database hoàn toàn trong vùng mạng Private Subnet bảo mật.

Giám sát & Sao lưu dữ liệu (DR)

📊

Giám sát hệ thống (Observability)

• 📈Metrics: Prometheus & Grafana thu thập và biểu diễn chỉ số.
• 📝Logs: ELK Stack (Elasticsearch, Logstash, Kibana) lưu trữ log tập trung.
• 🔍Tracing: Elastic APM đo hiệu năng chi tiết mã nguồn ứng dụng.
• 🚨Alerting: Tích hợp cảnh báo tự động qua Slack/Email khi xảy ra lỗi.

💾

Sao lưu & Khôi phục (Backup & DR)

• 🏗️Infrastructure: Sao lưu cấu hình K8s, ConfigMap, Secrets.
• 📦Application: Kasten K10 snapshot Pod và Persistent Volume.
• 🗄️Database: AWS Backup chụp snapshot RDS CSDL hàng ngày.
• 🔄Disaster Recovery: Quy trình phục hồi nhanh chóng khi gặp thảm họa.

Kịch bản Demo Flow

Tiến trình các bước thực hiện trong kịch bản chạy thử nghiệm thực tế:

Kết quả Đạt được

Đánh giá Định lượng

Các chỉ số vận hành thực tế so sánh trước và sau khi áp dụng nền tảng đề xuất:

Kết Luận

Hướng Phát triển

Các định hướng nghiên cứu và mở rộng hệ thống trong tương lai (Roadmap):