6.2 · Parcours 6 — Sécuriser (CKS)
Gérer les Secrets en sécurité
Lab Kubernetes dans votre cluster · questionnaire de validation · gratuit, dans le navigateur
Un Secret Kubernetes n'est pas chiffré par défaut : il est simplement encodé en base64, et quiconque peut le lire dans l'API lit le mot de passe. Bien gérer ses Secrets, c'est contrôler qui peut les lire, où ils sont stockés, comment ils arrivent dans l'application, et par où ils pourraient fuir. Cette leçon se fait dans votre cluster personnel.
Ce que vous saurez à la fin : expliquer ce que protège (et ne protège pas) un Secret, préférer le montage en fichier aux variables d'environnement, rendre un Secret immuable, restreindre sa lecture à un seul compte et à un seul Secret, et situer le chiffrement au repos et les gestionnaires de secrets externes.
Au programme de ce lab
- Votre mission
- Pas à pas
- Ce qu'est vraiment un Secret
- Restreindre la lecture : RBAC, Secret par Secret
- Livrer le Secret : plutôt en fichier
- Les Secrets immuables
- Côté cluster : chiffrement au repos et gestionnaires externes
Ce que KubeNow vérifie
- Le Secret bdd existe, avec la clé motdepasse, et il est immuable
- app reçoit bdd en fichier, en lecture seule, avec defaultMode 0400
- Plus aucune variable d'environnement tirée d'un Secret
- app a 1 pod prêt, à jour
- Le compte app lit bdd, et aucun autre Secret
- Le RoleBinding app-lire-bdd attribue lire-bdd au compte app