Lo que de verdad se despliega

Un chart de Helm es un paquete de plantillas de manifiestos (templates/) más un archivo de valores por defecto (values.yaml). Al desplegar, Helm combina las plantillas con los valores del entorno y produce los manifiestos finales; el comando helm template muestra ese resultado sin tocar ningún clúster. Lo que Kubernetes recibe y ejecuta es el resultado renderizado, no la plantilla.

Por eso una revisión de seguridad seria mira el render: un valor puede decir una cosa y la plantilla hacer otra, y solo el resultado muestra lo que de verdad se pide al clúster.

Un valor de seguridad solo sirve si la plantilla lo usa. Si una plantilla escribe la opción a mano, cambiar el valor no cambia nada: el equipo cree que activó una protección y el manifiesto sigue igual. La señal está en comparar los valores con el render y buscar la opción que no obedece.

El values.yaml de Ulmo declara runAsNonRoot: true en la sección de seguridad. Abre las plantillas y el render.

kubeconform valida los manifiestos contra el esquema de la API de Kubernetes: comprueba que los campos existen y tienen el tipo correcto. No juzga si una configuración es peligrosa, solo si es válida. Un manifiesto que pide privilegios de más puede ser perfectamente válido.

Lee reportes/kubeconform.txt.

kube-linter revisa manifiestos contra una lista de comprobaciones de buenas prácticas, cada una con su nombre (run-as-non-root, no-read-only-root-fs…). Sí señala configuraciones débiles, y lo hace por objeto. Para decidir qué carga necesita atención primero, se cuentan los hallazgos de cada una.

Cuando el render muestra un problema, hay tres sitios donde cambiarlo: el render (que se regenera cada vez), el valor del entorno o la plantilla. Corregir el archivo renderizado a mano no sirve: el siguiente despliegue lo vuelve a generar desde el chart. Si la plantilla escribe la opción a mano, el arreglo está en la plantilla: que lea el valor, con un valor por defecto seguro.