Lo que expone el orquestador

Un contenedor existe para aislar: lo que corre dentro no debería ver el sistema de la máquina que lo hospeda. El manifiesto del despliegue de pagos rompe ese aislamiento a propósito: marca el contenedor como privilegiado y monta la raíz del nodo (/) dentro de él. Con eso, un proceso que se cuele en ese contenedor no está atrapado en una caja: lee y escribe el disco del nodo entero, y desde ahí alcanza a los demás contenedores que comparten esa máquina. Un pod privilegiado con la raíz del nodo montada es, en la práctica, acceso de administrador a la máquina.

Reconocer que privileged más hostPath: / es una fuga del contenedor al nodo es lo que separa «funciona» de «es seguro desplegarlo».

El orquestador controla quién puede hacer qué con un sistema de roles: cada rol declara verbos (crear, leer, borrar…) sobre recursos (pods, secretos, nodos…). El manifiesto de permisos de Cauce declara un rol con verbos * sobre recursos * —todo sobre todo— y lo ata a la cuenta de servicio por defecto del espacio de nombres. Como todos los pods que no piden otra cuenta usan la de por defecto, cualquier contenedor que corra ahí hereda permiso para hacer cualquier cosa en el clúster: leer todos los secretos, crear pods, borrar lo que sea. Un comodín atado a la cuenta por defecto reparte las llaves del clúster a todo el que pase.

El arreglo no es quitar el rol, es acotarlo: solo los verbos y recursos que el servicio necesita, y atado a una cuenta propia, no a la de por defecto.

El panel de control del clúster es administración pura: desde él se ven secretos, se lanzan pods y se gestiona todo. El manifiesto del servicio lo publica con un balanceador de carga y deja el rango de orígenes permitidos vacío, lo que significa «desde cualquier sitio». Eso saca la consola de administración del clúster a internet, donde cualquiera puede intentar alcanzarla. Exponer el plano de control es de los errores más caros del despliegue, porque no es un dato lo que se filtra: es el mando de todo.

Que algo deba ser accesible para el equipo no significa que deba estarlo para internet; el arreglo es restringir el origen, no publicar el panel al mundo.

Abre el orquestador de Cauce, lee los tres manifiestos y la nota de revisión que los acompaña. La nota ordena los hallazgos por gravedad y deja un código de la sala sobre el peor de los tres. Léelo tal cual.