Kubernetes Security — основи

Керування доступом

RBAC, мінімальні ролі, ізоляція неймспейсів, аудит і агрегація логів.

Політики і ізоляція

Pod Security, NetworkPolicies, seccomp/AppArmor, drop capabilities, readonly FS, rootless контейнери.

Supply chain

Підписані образи (Cosign), сканування, policy admission (OPA/Gatekeeper/Kyverno), SBOM для образів.

Runtime і спостереження

Falco/eBPF, kube-bench/kube-hunter, аудит API, захист ETCD і TLS.

Гайд з прикладами

Приклад: Kyverno policy для readonly root FS

Створити policy, що вимагає readOnlyRootFilesystem=true.

Увімкнути у неймспейсах продакшену.

Моніторити відмови й адаптувати образи.

Спробуйте наживо

Усе, що вище, працює прямо у вашому браузері — відкрийте Network Packet Routing і змінюйте параметри під час роботи. Нічого не встановлюється, нічого не завантажується на сервер, уся модель живе в одній вкладці.