La admisión como decisión de diseño

Kubernetes define tres perfiles de seguridad para los pods, de menos a más estrictos. El perfil privilegiado no pone restricciones. El básico impide las escaladas de privilegio conocidas: prohíbe, por ejemplo, los contenedores privilegiados, la red del nodo compartida y los volúmenes que montan rutas del nodo. El restringido añade las prácticas actuales de endurecimiento, como exigir que el contenedor no corra como administrador.

Aparte del perfil está el modo en que se aplica en cada espacio de nombres. En el modo de bloqueo, un pod que incumple se rechaza. En el modo de auditoría se registra el incumplimiento pero el pod entra. En el modo de aviso se muestra una advertencia a quien lo despliega pero el pod entra.

Toda política tiene excepciones, y una excepción sana tiene tres cosas escritas: por qué existe, quién la aprobó y cuándo vence. Una excepción sin aprobación no es una excepción, es un hueco que alguien abrió y nadie firmó.

Consulta el registro de excepciones de la admisión y busca la que figura sin aprobar.

Una regla que cubre todo el clúster pero solo audita es una medición, no un control. Sirve para saber cuánto falta, pero no impide nada. Una regla de bloqueo que cubre solo un espacio protege una parte. Un buen diseño sabe cuál de las dos situaciones tiene delante.

Consulta las reglas de admisión y busca la que cubre todos los espacios pero está en modo de auditoría.

El plazo de una excepción solo significa algo si alguien lo comprueba contra la fecha de hoy. Una excepción vencida que sigue activa es una decisión que caducó y que nadie renovó ni retiró. El inventario de Aceituno trae la fecha de corte en su tabla de contexto.

Compara la fecha de corte con la fecha de vencimiento de cada excepción.

El equipo de plataforma pide que las excepciones sigan siendo posibles, porque construir imágenes a veces exige permisos que el perfil prohíbe. Tiene razón. El problema no es que existan excepciones sino que no cuesten nada. El diseño más barato es el que hace que cada excepción tenga dueño y fecha, y que la plataforma la deje de aceptar sola cuando vence.