6.9 · Parcours 6 — Sécuriser (CKS)
Conteneurs immuables à l'exécution
Lab Kubernetes · questionnaire de validation · gratuit, dans le navigateur
Une fois qu'un conteneur tourne, son contenu ne devrait plus jamais changer : mêmes binaires, mêmes bibliothèques, même configuration que l'image testée. Un attaquant qui prend pied dans une application, au contraire, cherche d'abord à écrire : déposer un outil, modifier un script, installer une porte dérobée. Rendre les conteneurs immuables à l'exécution lui ferme cette porte. C'est un des réflexes de base du CKS.
Ce que vous saurez à la fin : rendre le système de fichiers d'un conteneur en lecture seule, donner à l'application les seuls dossiers inscriptibles dont elle a besoin, combiner cette mesure avec les autres réglages du
securityContext, et vérifier qu'un conteneur est bien immuable.
Au programme de ce lab
- Votre mission
- Pas à pas
- Immuable : de quoi parle-t-on ?
- readOnlyRootFilesystem
- Ouvrir uniquement le nécessaire : emptyDir
- Le securityContext complet
- Les images y contribuent
- Détecter les écarts
Ce que KubeNow vérifie
- Système de fichiers racine en lecture seule
- Pas de root, pas d'élévation de privilèges
- Un emptyDir est monté sur /tmp
- Aucun autre dossier n'est rendu inscriptible
- vitrine est disponible et répond
- L'écriture est vraiment refusée dans le conteneur