Cuentas de servicio y permisos del clúster

Las personas entran al clúster como usuarios; las aplicaciones, como cuentas de servicio. Cada espacio tiene una cuenta llamada default, y un pod que no declara ninguna usa esa. Salvo que se desactive, el clúster monta dentro de cada contenedor un token de su cuenta de servicio, en una ruta conocida del sistema de archivos. Ese token es lo que la aplicación presenta a la API.

La consecuencia para el evaluador: lo que puede hacer la cuenta de servicio de un contenedor es lo que podría hacer cualquiera que controle ese contenedor. Por eso una aplicación que no habla con la API no debería tener el token montado, y la cuenta default no debería tener permisos.

Abre el laboratorio y lee los enlaces de rol. Un permiso se arma en dos piezas: el rol dice qué verbos sobre qué recursos, y el enlace dice a quién se le da. Un Role y un RoleBinding valen dentro de un espacio; un ClusterRole enlazado con un ClusterRoleBinding vale en todo el clúster. El rol cluster-admin permite cualquier verbo sobre cualquier recurso, y es normal que lo tenga el grupo de administradores. Que lo tenga una cuenta de servicio quiere decir que el contenedor que la usa administra el clúster entero.

Un RoleBinding puede tener como sujeto una cuenta de otro espacio. Es legítimo cuando está pensado, pero rompe la idea de que cada espacio es un compartimento. Y hay verbos que valen más de lo que parecen: con list sobre secretos se reciben los secretos completos, con su contenido, no solo sus nombres.

La documentación oficial de Kubernetes lo advierte de forma explícita: quien puede crear pods en un espacio puede, en la práctica, llegar a los secretos de ese espacio y usar cualquiera de sus cuentas de servicio, porque un pod declara qué secretos y qué cuenta usa. Por eso un permiso de crear pods se evalúa como si incluyera la lectura de secretos, aunque el rol no nombre los secretos.

Una cuenta default con el token montado y sin ninguna carga que la use no hace daño hoy, pero es la que recibirá cualquier pod que se cree sin declarar cuenta, y cualquier permiso que alguien le dé por comodidad. Se reporta como endurecimiento: desactivar el montaje automático en las cuentas que no lo necesitan.