Kubernetes RBAC + NetworkPolicy + admission controls

Комбинация от identity, network и deployment policy за Kubernetes.

RBAC ограничава API actions, NetworkPolicy ограничава pod-to-pod traffic, admission policies блокират risky workload configurations.

Compromised pod използва прекалено привилегирован service account, чете Secrets и комуникира свободно с други namespaces.

RBAC + NetworkPolicy + workload hardening превръщат този сценарий от „pod compromise = cluster compromise“ към по-ограничен инцидент.

• cluster-admin за service accounts;
• privileged containers;
• hostPath mount без нужда;
• default service-account token навсякъде;
• липса на default-deny NetworkPolicy.

Изберете типичен pod и попитайте: „Ако attacker получи shell тук, какво може да чете, към какво може да говори и какво може да създаде чрез Kubernetes API?“

• No anonymous/public API.
• Minimal service-account permissions.
• Default-deny network policies.
• Disallow privileged containers.
• Read-only root filesystem where possible.
• Image signing/verification.

Cluster-admin compromise може да заобиколи голяма част от тези controls.