kubenow
Se connecterCommencer gratuitement

6.1 · Parcours 6 — Sécuriser (CKS)

Pod Security Standards

Lab Kubernetes dans votre cluster · questionnaire de validation · gratuit, dans le navigateur

Un pod peut demander beaucoup de choses dangereuses : tourner en root, être privilégié, partager le réseau ou les processus du nœud, monter un dossier de l'hôte. Les Pod Security Standards (PSS) définissent trois niveaux de règles, et le contrôleur d'admission Pod Security Admission (PSA) les fait respecter namespace par namespace, sans rien installer. Cette leçon se fait dans votre cluster personnel : vous allez durcir un namespace, puis mettre une application en conformité.

Ce que vous saurez à la fin : citer les trois niveaux (privileged, baseline, restricted) et ce qu'ils interdisent, activer PSA sur un namespace avec ses trois modes (enforce, audit, warn), et écrire un securityContext conforme au niveau restricted.

Au programme de ce lab

  1. Votre mission
  2. Pas à pas
  3. Les trois niveaux
  4. Activer PSA sur un namespace
  5. Un securityContext « restricted »
  6. Lire les refus
  7. Au-delà de PSA

Ce que KubeNow vérifie

  • Le modèle de pod de api respecte le niveau restricted
  • api a 1 pod prêt, à jour
  • L'audit restricted ne signale plus aucun pod

Contenu aligné sur les programmes publiés par la CNCF (KCNA, CKAD, CKA, CKS), par le Linux Professional Institute (LPIC-1) et par Cisco (CCNA 200-301). KubeNow n'est ni affilié ni approuvé par la CNCF, la Linux Foundation, le LPI ou Cisco ; CKA, CKAD, CKS et KCNA sont des marques de la Linux Foundation, LPIC-1 est une marque du Linux Professional Institute, Cisco et CCNA sont des marques de Cisco Systems.