kubenow
Se connecterCommencer gratuitement

6.3 · Parcours 6 — Sécuriser (CKS)

RBAC et comptes de service au moindre privilège

Lab Kubernetes dans votre cluster · questionnaire de validation · gratuit, dans le navigateur

Une application compromise agit avec les droits de son compte de service. Si ce compte est cluster-admin, l'attaquant l'est aussi. Si son jeton est monté dans un pod qui n'en a pas besoin, il suffit d'une faille pour le voler. Cette leçon est un audit : dans votre cluster personnel, deux applications ont été déployées « pour que ça marche ». À vous de leur retirer tout ce qui dépasse.

Ce que vous saurez à la fin : repérer les droits excessifs (liaisons vers cluster-admin, jokers, comptes default), ramener un compte au strict nécessaire, désactiver le montage automatique des jetons, et prouver le résultat avec kubectl auth can-i.

Au programme de ce lab

  1. Votre mission
  2. Pas à pas
  3. Où se cachent les droits excessifs
  4. Le strict nécessaire
  5. Les jetons : ne les monter que si besoin
  6. Vérifier, toujours

Ce que KubeNow vérifie

  • Le ClusterRoleBinding rapport-admin a été supprimé
  • Le RoleBinding rapport-lire-pods attribue lire-pods au compte rapport
  • rapport lit les pods de son namespace, et rien de plus
  • Les pods de vitrine ne reçoivent plus de jeton

Contenu aligné sur les programmes publiés par la CNCF (KCNA, CKAD, CKA, CKS), par le Linux Professional Institute (LPIC-1) et par Cisco (CCNA 200-301). KubeNow n'est ni affilié ni approuvé par la CNCF, la Linux Foundation, le LPI ou Cisco ; CKA, CKAD, CKS et KCNA sont des marques de la Linux Foundation, LPIC-1 est une marque du Linux Professional Institute, Cisco et CCNA sont des marques de Cisco Systems.