Cuentas de servicio y permisos por rol

2 tareas · 40 min · Principiante

0 de 2 · 0%

Por defecto, Kubernetes monta un token JWT de cuenta de servicio en /var/run/secrets/kubernetes.io/serviceaccount/token dentro de cada pod si no se configura automountServiceAccountToken: false. Si un pod de cara a Internet (como un frontend web) se ve comprometido y tiene asignado un rol con permisos excesivos (o si el atacante roba el token), este puede interrogar la API del clúster y adueñarse de los nodos de cómputo.

Responde para continuar

¿Qué configuración recomendada en el manifiesto de un Pod impide que un contenedor expuesto a Internet obtenga automáticamente credenciales de la API del clúster?

readOnlyRootFilesystem: false automountServiceAccountToken: false hostNetwork: true privileged: true

Ver pista de ayuda

Desactivar la montura automática del token de cuenta de servicio en el pod.

Consulta en k8s_audit_events el recurso (resource) sobre el cual se ejecutó la acción.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué resource figura en la tabla k8s_audit_events?

Ver pista de ayuda

Observa el valor en la columna resource de la primera fila.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Auditoría de Kubernetes y Entornos Nativos de la Nube

Kubernetes Control Plane Audit & Runtime Security Engine (Falco/Kube-Audit)

Tablas

k8s_audit_events

audit_id
user_account
verb
resource
namespace
source_ip
status_code
risk_state

pod_runtime_anomalies

pod_name
namespace
service_account
cluster_role_binding
container_escape_flag

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 El peligro de las ServiceAccounts sobreprivilegiadas y automount

2 Recurso solicitado en el evento de auditoría Lab

Whoami-Labs Pro utiliza cookies