Un pod y su contención

Una etiqueta de imagen es un nombre que alguien puede mover; el digest identifica el contenido. Para saber qué se ejecuta de verdad se parte del digest del pod y se mira quién lo subió al registro y si tiene firma, no de lo que dice la etiqueta.

Una sesión interactiva dentro de un pod llega al servidor de API como una solicitud de creación sobre un subrecurso del pod; el registro conserva quién y desde dónde, no lo que se tecleó. La dirección sirve para comparar con la habitual de esa persona, y una diferencia es una pregunta para ella, no una acusación: pudo trabajar desde otra red o alguien pudo usar su credencial.

Un listado enumera los secretos de un namespace de una vez; una lectura por nombre toma uno. Para contar lo que la cuenta de servicio pudo ver de verdad se cuentan los secretos distintos que leyó con éxito: un intento rechazado quedó registrado pero no abrió nada, y leer dos veces el mismo no lo convierte en dos.

Contener un pod es cortarle lo que le permite hacer daño sin destruir lo que prueba qué pasó: su capa de escritura, su memoria y sus volúmenes efímeros desaparecen con el pod. Las acciones se comparan por su efecto sobre la salida a internet y sobre lo que se conserva, no por lo drásticas que suenan.

Aplicar una contención no es lo mismo que haberla conseguido: se verifica en los flujos que lo que debía dejar de salir dejó de salir. Los bytes que siguen saliendo a partir del momento de la contención son la medida de cuánto falló, y solo cuentan los que van fuera de la red de la empresa.