Question: What is Cloud native security?

Answer: C N C F   w h i t e   p a p e r   o n   c l o u d   n a t i v e   s e c u r i t y . C N C F   w h i t e   p a p e r   o n   g o o d   p r a c t i c e s   f o r   s e c u r i n g   a   s o f t w a r e   s u p p l y   c h a i n . F i x i n g   t h e   K u b e r n e t e s   c l u s t e r f * * k :   U n d e r s t a n d i n g   s e c u r i t y   f r o m   t h e   k e r n e l   u p   ( F O S D E M   2 0 2 0 ) K u b e r n e t e s   S e c u r i t y   B e s t   P r a c t i c e s   ( K u b e r n e t e s   F o r u m   S e o u l   2 0 1 9 ) T o w a r d s   M e a s u r e d   B o o t   O u t   o f   t h e   B o x   ( L i n u x   S e c u r i t y   S u m m i t   2 0 1 6 )


Question: What is Kubernetes and information security?

Answer: K u b e r n e t e s   s e c u r i t y S e c u r i n g   y o u r   c l u s t e r D a t a   e n c r y p t i o n   i n   t r a n s i t   f o r   t h e   c o n t r o l   p l a n e D a t a   e n c r y p t i o n   a t   r e s t S e c r e t s   i n   K u b e r n e t e s C o n t r o l l i n g   A c c e s s   t o   t h e   K u b e r n e t e s   A P I N e t w o r k   p o l i c i e s   f o r   P o d s P o d   s e c u r i t y   s t a n d a r d s R u n t i m e C l a s s e s


Question: What is 8.2 - Pod Security Standards?

Answer: T h e   P o d   S e c u r i t y   S t a n d a r d s   d e f i n e   t h r e e   d i f f e r e n t   p o l i c i e s   t o   b r o a d l y   c o v e r   t h e   s e c u r i t y   s p e c t r u m .   T h e s e   p o l i c i e s   a r e   c u m u l a t i v e   a n d   r a n g e   f r o m   h i g h l y - p e r m i s s i v e   t o   h i g h l y - r e s t r i c t i v e .   T h i s   g u i d e   o u t l i n e s   t h e   r e q u i r e m e n t s   o f   e a c h   p o l i c y .


Question: What is Privileged?

Answer: T h e   P r i v i l e g e d   p o l i c y   i s   p u r p o s e l y - o p e n ,   a n d   e n t i r e l y   u n r e s t r i c t e d .   T h i s   t y p e   o f   p o l i c y   i s   t y p i c a l l y   a i m e d   a t   s y s t e m -   a n d   i n f r a s t r u c t u r e - l e v e l   w o r k l o a d s   m a n a g e d   b y   p r i v i l e g e d ,   t r u s t e d   u s e r s .   T h e   P r i v i l e g e d   p o l i c y   i s   d e f i n e d   b y   a n   a b s e n c e   o f   r e s t r i c t i o n s .   I f   y o u   d e f i n e   a   P o d   w h e r e   t h e   P r i v i l e g e d   s e c u r i t y   p o l i c y   a p p l i e s ,   t h e   P o d   y o u   d e f i n e   i s   a b l e   t o   b y p a s s   t y p i c a l   c o n t a i n e r   i s o l a t i o n   m e c h a n i s m s .   F o r   e x a m p l e ,   y o u   c a n   d e f i n e   a   P o d   t h a t   h a s   a c c e s s   t o   t h e   n o d e ' s   h o s t   n e t w o r k .


Question: What is Baseline?

Answer: T h e   B a s e l i n e   p o l i c y   i s   a i m e d   a t   e a s e   o f   a d o p t i o n   f o r   c o m m o n   c o n t a i n e r i z e d   w o r k l o a d s   w h i l e   p r e v e n t i n g   k n o w n   p r i v i l e g e   e s c a l a t i o n s .   T h i s   p o l i c y   i s   t a r g e t e d   a t   a p p l i c a t i o n   o p e r a t o r s   a n d   d e v e l o p e r s   o f   n o n - c r i t i c a l   a p p l i c a t i o n s .   T h e   f o l l o w i n g   l i s t e d   c o n t r o l s   s h o u l d   b e   e n f o r c e d / d i s a l l o w e d :


Question: What is Note:?

Answer: W i n d o w s   P o d s   o f f e r   t h e   a b i l i t y   t o   r u n   H o s t P r o c e s s   c o n t a i n e r s   w h i c h   e n a b l e s   p r i v i l e g e d   a c c e s s   t o   t h e   W i n d o w s   h o s t   m a c h i n e .   P r i v i l e g e d   a c c e s s   t o   t h e   h o s t   i s   d i s a l l o w e d   i n   t h e   B a s e l i n e   p o l i c y . F E A T U R E   S T A T E :   K u b e r n e t e s   v 1 . 2 6   [ s t a b l e ]   R e s t r i c t e d   F i e l d s   s p e c . s e c u r i t y C o n t e x t . w i n d o w s O p t i o n s . h o s t P r o c e s s s p e c . c o n t a i n e r s [ * ] . s e c u r i t y C o n t e x t . w i n d o w s O p t i o n s . h o s t P r o c e s s s p e c . i n i t C o n t a i n e r s [ * ] . s e c u r i t y C o n t e x t . w i n d o w s O p t i o n s . h o s t P r o c e s s s p e c . e p h e m e r a l C o n t a i n e r s [ * ] . s e c u r i t y C o n t e x t . w i n d o w s O p t i o n s . h o s t P r o c e s s   A l l o w e d   V a l u e s   U n d e f i n e d / n i l f a l s e   S h a r i n g   t h e   h o s t   n a m e s p a c e s   m u s t   b e   d i s a l l o w e d .   R e s t r i c t e d   F i e l d s   s p e c . h o s t N e t w o r k s p e c . h o s t P I D s p e c . h o s t I P C   A l l o w e d   V a l u e s   U n d e f i n e d / n i l f a l s e   P r i v i l e g e d   P o d s   d i s a b l e   m o s t   s e c u r i t y   m e c h a n i s m s   a n d   m u s t   b e   d i s a l l o w e d .   R e s t r i c t e d   F i e l d s   s p e c . c o n t a i n e r s [ * ] . s e c u r i t y C o n t e x t . p r i v i l e g e d s p e c . i n i t C o n t a i n e r s [ * ] . s e c u r i t y C o n t e x t . p r i v i l e g e d s p e c . e p h e m e r a l C o n t a i n e r s [ * ] . s e c u r i t y C o n t e x t . p r i v i l e g e d   A l l o w e d   V a l u e s   U n d e f i n e d / n i l f a l s e   A d d i n g   a d d i t i o n a l   c a p a b i l i t i e s   b e y o n d   t h o s e   l i s t e d   b e l o w   m u


Question: What is Restricted?

Answer: T h e   R e s t r i c t e d   p o l i c y   i s   a i m e d   a t   e n f o r c i n g   c u r r e n t   P o d   h a r d e n i n g   b e s t   p r a c t i c e s ,   a t   t h e   e x p e n s e   o f   s o m e   c o m p a t i b i l i t y .   I t   i s   t a r g e t e d   a t   o p e r a t o r s   a n d   d e v e l o p e r s   o f   s e c u r i t y - c r i t i c a l   a p p l i c a t i o n s ,   a s   w e l l   a s   l o w e r - t r u s t   u s e r s .   T h e   f o l l o w i n g   l i s t e d   c o n t r o l s   s h o u l d   b e   e n f o r c e d / d i s a l l o w e d :


Question: What is Note:?

Answer: T h e   R e s t r i c t e d   p o l i c y   o n l y   p e r m i t s   t h e   f o l l o w i n g   v o l u m e   t y p e s .   R e s t r i c t e d   F i e l d s   s p e c . v o l u m e s [ * ]   A l l o w e d   V a l u e s   s p e c . v o l u m e s [ * ] . c o n f i g M a p s p e c . v o l u m e s [ * ] . c s i s p e c . v o l u m e s [ * ] . d o w n w a r d A P I s p e c . v o l u m e s [ * ] . e m p t y D i r s p e c . v o l u m e s [ * ] . e p h e m e r a l s p e c . v o l u m e s [ * ] . p e r s i s t e n t V o l u m e C l a i m s p e c . v o l u m e s [ * ] . p r o j e c t e d s p e c . v o l u m e s [ * ] . s e c r e t   P r i v i l e g e   e s c a l a t i o n   ( s u c h   a s   v i a   s e t - u s e r - I D   o r   s e t - g r o u p - I D   f i l e   m o d e )   s h o u l d   n o t   b e   a l l o w e d .   T h i s   i s   L i n u x   o n l y   p o l i c y   i n   v 1 . 2 5 +   ( s p e c . o s . n a m e   ! =   w i n d o w s )   R e s t r i c t e d   F i e l d s   s p e c . c o n t a i n e r s [ * ] . s e c u r i t y C o n t e x t . a l l o w P r i v i l e g e E s c a l a t i o n s p e c . i n i t C o n t a i n e r s [ * ] . s e c u r i t y C o n t e x t . a l l o w P r i v i l e g e E s c a l a t i o n s p e c . e p h e m e r a l C o n t a i n e r s [ * ] . s e c u r i t y C o n t e x t . a l l o w P r i v i l e g e E s c a l a t i o n   A l l o w e d   V a l u e s   f a l s e   C o n t a i n e r s   m u s t   b e   r e q u i r e d   t o   r u n   a s   n o n - r o o t   u s e r s .   R e s t r i c t e d   F i e l d s   s p e c . s e c u r i t y C o n t e x t . r u n A s N o n R o o t s p e c . c o n t a i n e r s [ * ] . s e c u r i t y C o n t e x t . r u n A s N o n R o o t s p e c . i n i t C o n t a i n e r s [ * ] . s e c u r i t y C o n t e x t . r u n A s N o n R o o t s p e c . e p h e m e r a l C o n t a i n e r s [ * ] . s e c u r i t y C o n t e x t . r u n A s N o n R o o t   A l l o w e d   V a l u e s   t r u e   C o n t a i n e r s   m u s t


Question: What is Policy Instantiation?

Answer: D e c o u p l i n g   p o l i c y   d e f i n i t i o n   f r o m   p o l i c y   i n s t a n t i a t i o n   a l l o w s   f o r   a   c o m m o n   u n d e r s t a n d i n g   a n d   c o n s i s t e n t   l a n g u a g e   o f   p o l i c i e s   a c r o s s   c l u s t e r s ,   i n d e p e n d e n t   o f   t h e   u n d e r l y i n g   e n f o r c e m e n t   m e c h a n i s m .   A s   m e c h a n i s m s   m a t u r e ,   t h e y   w i l l   b e   d e f i n e d   b e l o w   o n   a   p e r - p o l i c y   b a s i s .   T h e   m e t h o d s   o f   e n f o r c e m e n t   o f   i n d i v i d u a l   p o l i c i e s   a r e   n o t   d e f i n e d   h e r e .   P o d   S e c u r i t y   A d m i s s i o n   C o n t r o l l e r   P r i v i l e g e d   n a m e s p a c e B a s e l i n e   n a m e s p a c e R e s t r i c t e d   n a m e s p a c e


Question: What is Alternatives?

Answer: O t h e r   a l t e r n a t i v e s   f o r   e n f o r c i n g   p o l i c i e s   a r e   b e i n g   d e v e l o p e d   i n   t h e   K u b e r n e t e s   e c o s y s t e m ,   s u c h   a s :   K u b e w a r d e n K y v e r n o O P A   G a t e k e e p e r


Question: What is Pod OS field?

Answer: K u b e r n e t e s   l e t s   y o u   u s e   n o d e s   t h a t   r u n   e i t h e r   L i n u x   o r   W i n d o w s .   Y o u   c a n   m i x   b o t h   k i n d s   o f   n o d e   i n   o n e   c l u s t e r .   W i n d o w s   i n   K u b e r n e t e s   h a s   s o m e   l i m i t a t i o n s   a n d   d i f f e r e n t i a t o r s   f r o m   L i n u x - b a s e d   w o r k l o a d s .   S p e c i f i c a l l y ,   m a n y   o f   t h e   P o d   s e c u r i t y C o n t e x t   f i e l d s   h a v e   n o   e f f e c t   o n   W i n d o w s .


Question: What is Restricted Pod Security Standard changes?

Answer: A n o t h e r   i m p o r t a n t   c h a n g e ,   m a d e   i n   K u b e r n e t e s   v 1 . 2 5   i s   t h a t   t h e   R e s t r i c t e d   p o l i c y   h a s   b e e n   u p d a t e d   t o   u s e   t h e   p o d . s p e c . o s . n a m e   f i e l d .   B a s e d   o n   t h e   O S   n a m e ,   c e r t a i n   p o l i c i e s   t h a t   a r e   s p e c i f i c   t o   a   p a r t i c u l a r   O S   c a n   b e   r e l a x e d   f o r   t h e   o t h e r   O S .


Question: What is OS-specific policy controls?

Answer: R e s t r i c t i o n s   o n   t h e   f o l l o w i n g   c o n t r o l s   a r e   o n l y   r e q u i r e d   i f   . s p e c . o s . n a m e   i s   n o t   w i n d o w s :   P r i v i l e g e   E s c a l a t i o n S e c c o m p L i n u x   C a p a b i l i t i e s


Question: What is User namespaces?

Answer: U s e r   N a m e s p a c e s   a r e   a   L i n u x - o n l y   f e a t u r e   t o   r u n   w o r k l o a d s   w i t h   i n c r e a s e d   i s o l a t i o n .   H o w   t h e y   w o r k   t o g e t h e r   w i t h   P o d   S e c u r i t y   S t a n d a r d s   i s   d e s c r i b e d   i n   t h e   d o c u m e n t a t i o n   f o r   P o d s   t h a t   u s e   u s e r   n a m e s p a c e s .


Question: What is Why isn't there a profile between Privileged and Baseline??

Answer: T h e   t h r e e   p r o f i l e s   d e f i n e d   h e r e   h a v e   a   c l e a r   l i n e a r   p r o g r e s s i o n   f r o m   m o s t   s e c u r e   ( R e s t r i c t e d )   t o   l e a s t   s e c u r e   ( P r i v i l e g e d ) ,   a n d   c o v e r   a   b r o a d   s e t   o f   w o r k l o a d s .   P r i v i l e g e s   r e q u i r e d   a b o v e   t h e   B a s e l i n e   p o l i c y   a r e   t y p i c a l l y   v e r y   a p p l i c a t i o n   s p e c i f i c ,   s o   w e   d o   n o t   o f f e r   a   s t a n d a r d   p r o f i l e   i n   t h i s   n i c h e .   T h i s   i s   n o t   t o   s a y   t h a t   t h e   p r i v i l e g e d   p r o f i l e   s h o u l d   a l w a y s   b e   u s e d   i n   t h i s   c a s e ,   b u t   t h a t   p o l i c i e s   i n   t h i s   s p a c e   n e e d   t o   b e   d e f i n e d   o n   a   c a s e - b y - c a s e   b a s i s .   S I G   A u t h   m a y   r e c o n s i d e r   t h i s   p o s i t i o n   i n   t h e   f u t u r e ,   s h o u l d   a   c l e a r   n e e d   f o r   o t h e r   p r o f i l e s   a r i s e .


Question: What is What's the difference between a security profile and a security context??

Answer: S e c u r i t y   C o n t e x t s   c o n f i g u r e   P o d s   a n d   C o n t a i n e r s   a t   r u n t i m e .   S e c u r i t y   c o n t e x t s   a r e   d e f i n e d   a s   p a r t   o f   t h e   P o d   a n d   c o n t a i n e r   s p e c i f i c a t i o n s   i n   t h e   P o d   m a n i f e s t ,   a n d   r e p r e s e n t   p a r a m e t e r s   t o   t h e   c o n t a i n e r   r u n t i m e .   S e c u r i t y   p r o f i l e s   a r e   c o n t r o l   p l a n e   m e c h a n i s m s   t o   e n f o r c e   s p e c i f i c   s e t t i n g s   i n   t h e   S e c u r i t y   C o n t e x t ,   a s   w e l l   a s   o t h e r   r e l a t e d   p a r a m e t e r s   o u t s i d e   t h e   S e c u r i t y   C o n t e x t .   A s   o f   J u l y   2 0 2 1 ,   P o d   S e c u r i t y   P o l i c i e s   a r e   d e p r e c a t e d   i n   f a v o r   o f   t h e   b u i l t - i n   P o d   S e c u r i t y   A d m i s s i o n   C o n t r o l l e r .


Question: What is What about sandboxed Pods??

Answer: T h e r e   i s   c u r r e n t l y   n o   A P I   s t a n d a r d   t h a t   c o n t r o l s   w h e t h e r   a   P o d   i s   c o n s i d e r e d   s a n d b o x e d   o r   n o t .   S a n d b o x   P o d s   m a y   b e   i d e n t i f i e d   b y   t h e   u s e   o f   a   s a n d b o x e d   r u n t i m e   ( s u c h   a s   g V i s o r   o r   K a t a   C o n t a i n e r s ) ,   b u t   t h e r e   i s   n o   s t a n d a r d   d e f i n i t i o n   o f   w h a t   a   s a n d b o x e d   r u n t i m e   i s .   T h e   p r o t e c t i o n s   n e c e s s a r y   f o r   s a n d b o x e d   w o r k l o a d s   c a n   d i f f e r   f r o m   o t h e r s .   F o r   e x a m p l e ,   t h e   n e e d   t o   r e s t r i c t   p r i v i l e g e d   p e r m i s s i o n s   i s   l e s s e n e d   w h e n   t h e   w o r k l o a d   i s   i s o l a t e d   f r o m   t h e   u n d e r l y i n g   k e r n e l .   T h i s   a l l o w s   f o r   w o r k l o a d s   r e q u i r i n g   h e i g h t e n e d   p e r m i s s i o n s   t o   s t i l l   b e   i s o l a t e d .   A d d i t i o n a l l y ,   t h e   p r o t e c t i o n   o f   s a n d b o x e d   w o r k l o a d s   i s   h i g h l y   d e p e n d e n t   o n   t h e   m e t h o d   o f   s a n d b o x i n g .   A s   s u c h ,   n o   s i n g l e   r e c o m m e n d e d   p r o f i l e   i s   r e c o m m e n d e d   f o r   a l l   s a n d b o x e d   w o r k l o a d s .


Question: What is 8.3 - Pod Security Admission?

Answer: T h e   K u b e r n e t e s   P o d   S e c u r i t y   S t a n d a r d s   d e f i n e   d i f f e r e n t   i s o l a t i o n   l e v e l s   f o r   P o d s .   T h e s e   s t a n d a r d s   l e t   y o u   d e f i n e   h o w   y o u   w a n t   t o   r e s t r i c t   t h e   b e h a v i o r   o f   p o d s   i n   a   c l e a r ,   c o n s i s t e n t   f a s h i o n .   K u b e r n e t e s   o f f e r s   a   b u i l t - i n   P o d   S e c u r i t y   a d m i s s i o n   c o n t r o l l e r   t o   e n f o r c e   t h e   P o d   S e c u r i t y   S t a n d a r d s .   P o d   s e c u r i t y   r e s t r i c t i o n s   a r e   a p p l i e d   a t   t h e   n a m e s p a c e   l e v e l   w h e n   p o d s   a r e   c r e a t e d .


Question: What is Built-in Pod Security admission enforcement?

Answer: T h i s   p a g e   i s   p a r t   o f   t h e   d o c u m e n t a t i o n   f o r   K u b e r n e t e s   v 1 . 3 4 .   I f   y o u   a r e   r u n n i n g   a   d i f f e r e n t   v e r s i o n   o f   K u b e r n e t e s ,   c o n s u l t   t h e   d o c u m e n t a t i o n   f o r   t h a t   r e l e a s e .


Question: What is Pod Security levels?

Answer: P o d   S e c u r i t y   a d m i s s i o n   p l a c e s   r e q u i r e m e n t s   o n   a   P o d ' s   S e c u r i t y   C o n t e x t   a n d   o t h e r   r e l a t e d   f i e l d s   a c c o r d i n g   t o   t h e   t h r e e   l e v e l s   d e f i n e d   b y   t h e   P o d   S e c u r i t y   S t a n d a r d s :   p r i v i l e g e d ,   b a s e l i n e ,   a n d   r e s t r i c t e d .   R e f e r   t o   t h e   P o d   S e c u r i t y   S t a n d a r d s   p a g e   f o r   a n   i n - d e p t h   l o o k   a t   t h o s e   r e q u i r e m e n t s .


Question: What is Pod Security Admission labels for namespaces?

Answer: O n c e   t h e   f e a t u r e   i s   e n a b l e d   o r   t h e   w e b h o o k   i s   i n s t a l l e d ,   y o u   c a n   c o n f i g u r e   n a m e s p a c e s   t o   d e f i n e   t h e   a d m i s s i o n   c o n t r o l   m o d e   y o u   w a n t   t o   u s e   f o r   p o d   s e c u r i t y   i n   e a c h   n a m e s p a c e .   K u b e r n e t e s   d e f i n e s   a   s e t   o f   l a b e l s   t h a t   y o u   c a n   s e t   t o   d e f i n e   w h i c h   o f   t h e   p r e d e f i n e d   P o d   S e c u r i t y   S t a n d a r d   l e v e l s   y o u   w a n t   t o   u s e   f o r   a   n a m e s p a c e .   T h e   l a b e l   y o u   s e l e c t   d e f i n e s   w h a t   a c t i o n   t h e   c o n t r o l   p l a n e   t a k e s   i f   a   p o t e n t i a l   v i o l a t i o n   i s   d e t e c t e d :   A   n a m e s p a c e   c a n   c o n f i g u r e   a n y   o r   a l l   m o d e s ,   o r   e v e n   s e t   a   d i f f e r e n t   l e v e l   f o r   d i f f e r e n t   m o d e s .   F o r   e a c h   m o d e ,   t h e r e   a r e   t w o   l a b e l s   t h a t   d e t e r m i n e   t h e   p o l i c y   u s e d :   #   T h e   p e r - m o d e   l e v e l   l a b e l   i n d i c a t e s   w h i c h   p o l i c y   l e v e l   t o   a p p l y   f o r   t h e   m o d e .   #   #   M O D E   m u s t   b e   o n e   o f   ` e n f o r c e ` ,   ` a u d i t ` ,   o r   ` w a r n ` .   #   L E V E L   m u s t   b e   o n e   o f   ` p r i v i l e g e d ` ,   ` b a s e l i n e ` ,   o r   ` r e s t r i c t e d ` .   p o d - s e c u r i t y . k u b e r n e t e s . i o / < M O D E > :   < L E V E L >   #   O p t i o n a l :   p e r - m o d e   v e r s i o n   l a b e l   t h a t   c a n   b e   u s e d   t o   p i n   t h e   p o l i c y   t o   t h e   #   v e r s i o n   t h a t   s h i p p e d   w i t h   a   g i v e n   K u b e r n e t e s   m i n o r   v e r s i o n   ( f o r   e x a m p l e   v 1 . 3 4 ) .   #   #   M O D E


Question: What is Workload resources and Pod templates?

Answer: P o d s   a r e   o f t e n   c r e a t e d   i n d i r e c t l y ,   b y   c r e a t i n g   a   w o r k l o a d   o b j e c t   s u c h   a s   a   D e p l o y m e n t   o r   J o b .   T h e   w o r k l o a d   o b j e c t   d e f i n e s   a   P o d   t e m p l a t e   a n d   a   c o n t r o l l e r   f o r   t h e   w o r k l o a d   r e s o u r c e   c r e a t e s   P o d s   b a s e d   o n   t h a t   t e m p l a t e .   T o   h e l p   c a t c h   v i o l a t i o n s   e a r l y ,   b o t h   t h e   a u d i t   a n d   w a r n i n g   m o d e s   a r e   a p p l i e d   t o   t h e   w o r k l o a d   r e s o u r c e s .   H o w e v e r ,   e n f o r c e   m o d e   i s   n o t   a p p l i e d   t o   w o r k l o a d   r e s o u r c e s ,   o n l y   t o   t h e   r e s u l t i n g   p o d   o b j e c t s .


Question: What is Exemptions?

Answer: Y o u   c a n   d e f i n e   e x e m p t i o n s   f r o m   p o d   s e c u r i t y   e n f o r c e m e n t   i n   o r d e r   t o   a l l o w   t h e   c r e a t i o n   o f   p o d s   t h a t   w o u l d   h a v e   o t h e r w i s e   b e e n   p r o h i b i t e d   d u e   t o   t h e   p o l i c y   a s s o c i a t e d   w i t h   a   g i v e n   n a m e s p a c e .   E x e m p t i o n s   c a n   b e   s t a t i c a l l y   c o n f i g u r e d   i n   t h e   A d m i s s i o n   C o n t r o l l e r   c o n f i g u r a t i o n .   E x e m p t i o n s   m u s t   b e   e x p l i c i t l y   e n u m e r a t e d .   R e q u e s t s   m e e t i n g   e x e m p t i o n   c r i t e r i a   a r e   i g n o r e d   b y   t h e   A d m i s s i o n   C o n t r o l l e r   ( a l l   e n f o r c e ,   a u d i t   a n d   w a r n   b e h a v i o r s   a r e   s k i p p e d ) .   E x e m p t i o n   d i m e n s i o n s   i n c l u d e :   U s e r n a m e s :   r e q u e s t s   f r o m   u s e r s   w i t h   a n   e x e m p t   a u t h e n t i c a t e d   ( o r   i m p e r s o n a t e d )   u s e r n a m e   a r e   i g n o r e d . R u n t i m e C l a s s N a m e s :   p o d s   a n d   w o r k l o a d   r e s o u r c e s   s p e c i f y i n g   a n   e x e m p t   r u n t i m e   c l a s s   n a m e   a r e   i g n o r e d . N a m e s p a c e s :   p o d s   a n d   w o r k l o a d   r e s o u r c e s   i n   a n   e x e m p t   n a m e s p a c e   a r e   i g n o r e d .


Question: What is Caution:?

Answer: U p d a t e s   t o   t h e   f o l l o w i n g   p o d   f i e l d s   a r e   e x e m p t   f r o m   p o l i c y   c h e c k s ,   m e a n i n g   t h a t   i f   a   p o d   u p d a t e   r e q u e s t   o n l y   c h a n g e s   t h e s e   f i e l d s ,   i t   w i l l   n o t   b e   d e n i e d   e v e n   i f   t h e   p o d   i s   i n   v i o l a t i o n   o f   t h e   c u r r e n t   p o l i c y   l e v e l :   A n y   m e t a d a t a   u p d a t e s   e x c e p t   c h a n g e s   t o   t h e   s e c c o m p   o r   A p p A r m o r   a n n o t a t i o n s : s e c c o m p . s e c u r i t y . a l p h a . k u b e r n e t e s . i o / p o d   ( d e p r e c a t e d ) c o n t a i n e r . s e c c o m p . s e c u r i t y . a l p h a . k u b e r n e t e s . i o / *   ( d e p r e c a t e d ) c o n t a i n e r . a p p a r m o r . s e c u r i t y . b e t a . k u b e r n e t e s . i o / *   ( d e p r e c a t e d ) V a l i d   u p d a t e s   t o   . s p e c . a c t i v e D e a d l i n e S e c o n d s V a l i d   u p d a t e s   t o   . s p e c . t o l e r a t i o n s   s e c c o m p . s e c u r i t y . a l p h a . k u b e r n e t e s . i o / p o d   ( d e p r e c a t e d ) c o n t a i n e r . s e c c o m p . s e c u r i t y . a l p h a . k u b e r n e t e s . i o / *   ( d e p r e c a t e d ) c o n t a i n e r . a p p a r m o r . s e c u r i t y . b e t a . k u b e r n e t e s . i o / *   ( d e p r e c a t e d )


Question: What is Metrics?

Answer: H e r e   a r e   t h e   P r o m e t h e u s   m e t r i c s   e x p o s e d   b y   k u b e - a p i s e r v e r :   p o d _ s e c u r i t y _ e r r o r s _ t o t a l :   T h i s   m e t r i c   i n d i c a t e s   t h e   n u m b e r   o f   e r r o r s   p r e v e n t i n g   n o r m a l   e v a l u a t i o n .   N o n - f a t a l   e r r o r s   m a y   r e s u l t   i n   t h e   l a t e s t   r e s t r i c t e d   p r o f i l e   b e i n g   u s e d   f o r   e n f o r c e m e n t . p o d _ s e c u r i t y _ e v a l u a t i o n s _ t o t a l :   T h i s   m e t r i c   i n d i c a t e s   t h e   n u m b e r   o f   p o l i c y   e v a l u a t i o n s   t h a t   h a v e   o c c u r r e d ,   n o t   c o u n t i n g   i g n o r e d   o r   e x e m p t   r e q u e s t s   d u r i n g   e x p o r t i n g . p o d _ s e c u r i t y _ e x e m p t i o n s _ t o t a l :   T h i s   m e t r i c   i n d i c a t e s   t h e   n u m b e r   o f   e x e m p t   r e q u e s t s ,   n o t   c o u n t i n g   i g n o r e d   o r   o u t   o f   s c o p e   r e q u e s t s .


Question: What is What's next?

Answer: P o d   S e c u r i t y   S t a n d a r d s E n f o r c i n g   P o d   S e c u r i t y   S t a n d a r d s E n f o r c e   P o d   S e c u r i t y   S t a n d a r d s   b y   C o n f i g u r i n g   t h e   B u i l t - i n   A d m i s s i o n   C o n t r o l l e r E n f o r c e   P o d   S e c u r i t y   S t a n d a r d s   w i t h   N a m e s p a c e   L a b e l s   I f   y o u   a r e   r u n n i n g   a n   o l d e r   v e r s i o n   o f   K u b e r n e t e s   a n d   w a n t   t o   u p g r a d e   t o   a   v e r s i o n   o f   K u b e r n e t e s   t h a t   d o e s   n o t   i n c l u d e   P o d S e c u r i t y P o l i c i e s ,   r e a d   m i g r a t e   f r o m   P o d S e c u r i t y P o l i c y   t o   t h e   B u i l t - I n   P o d S e c u r i t y   A d m i s s i o n   C o n t r o l l e r .


Question: What is 8.4 - Service Accounts?

Answer: T h i s   p a g e   i n t r o d u c e s   t h e   S e r v i c e A c c o u n t   o b j e c t   i n   K u b e r n e t e s ,   p r o v i d i n g   i n f o r m a t i o n   a b o u t   h o w   s e r v i c e   a c c o u n t s   w o r k ,   u s e   c a s e s ,   l i m i t a t i o n s ,   a l t e r n a t i v e s ,   a n d   l i n k s   t o   r e s o u r c e s   f o r   a d d i t i o n a l   g u i d a n c e .


Question: What is What are service accounts??

Answer: A   s e r v i c e   a c c o u n t   i s   a   t y p e   o f   n o n - h u m a n   a c c o u n t   t h a t ,   i n   K u b e r n e t e s ,   p r o v i d e s   a   d i s t i n c t   i d e n t i t y   i n   a   K u b e r n e t e s   c l u s t e r .   A p p l i c a t i o n   P o d s ,   s y s t e m   c o m p o n e n t s ,   a n d   e n t i t i e s   i n s i d e   a n d   o u t s i d e   t h e   c l u s t e r   c a n   u s e   a   s p e c i f i c   S e r v i c e A c c o u n t ' s   c r e d e n t i a l s   t o   i d e n t i f y   a s   t h a t   S e r v i c e A c c o u n t .   T h i s   i d e n t i t y   i s   u s e f u l   i n   v a r i o u s   s i t u a t i o n s ,   i n c l u d i n g   a u t h e n t i c a t i n g   t o   t h e   A P I   s e r v e r   o r   i m p l e m e n t i n g   i d e n t i t y - b a s e d   s e c u r i t y   p o l i c i e s .   S e r v i c e   a c c o u n t s   e x i s t   a s   S e r v i c e A c c o u n t   o b j e c t s   i n   t h e   A P I   s e r v e r .   S e r v i c e   a c c o u n t s   h a v e   t h e   f o l l o w i n g   p r o p e r t i e s :   N a m e s p a c e d :   E a c h   s e r v i c e   a c c o u n t   i s   b o u n d   t o   a   K u b e r n e t e s   n a m e s p a c e .   E v e r y   n a m e s p a c e   g e t s   a   d e f a u l t   S e r v i c e A c c o u n t   u p o n   c r e a t i o n . L i g h t w e i g h t :   S e r v i c e   a c c o u n t s   e x i s t   i n   t h e   c l u s t e r   a n d   a r e   d e f i n e d   i n   t h e   K u b e r n e t e s   A P I .   Y o u   c a n   q u i c k l y   c r e a t e   s e r v i c e   a c c o u n t s   t o   e n a b l e   s p e c i f i c   t a s k s . P o r t a b l e :   A   c o n f i g u r a t i o n   b u n d l e   f o r   a   c o m p l e x   c o n t a i n e r i z e d   w o r k l o a d   m i g h t   i n c l u d e   s e r v i c e   a c c o u n t   d e f i n i t i o n s   f o r   t h e   s y s t e m ' s   c o m p o n e n t s .   T h e   l i g h t w e i g h t   n a t u r e   o f   s e r v


Question: What is Default service accounts?

Answer: W h e n   y o u   c r e a t e   a   c l u s t e r ,   K u b e r n e t e s   a u t o m a t i c a l l y   c r e a t e s   a   S e r v i c e A c c o u n t   o b j e c t   n a m e d   d e f a u l t   f o r   e v e r y   n a m e s p a c e   i n   y o u r   c l u s t e r .   T h e   d e f a u l t   s e r v i c e   a c c o u n t s   i n   e a c h   n a m e s p a c e   g e t   n o   p e r m i s s i o n s   b y   d e f a u l t   o t h e r   t h a n   t h e   d e f a u l t   A P I   d i s c o v e r y   p e r m i s s i o n s   t h a t   K u b e r n e t e s   g r a n t s   t o   a l l   a u t h e n t i c a t e d   p r i n c i p a l s   i f   r o l e - b a s e d   a c c e s s   c o n t r o l   ( R B A C )   i s   e n a b l e d .   I f   y o u   d e l e t e   t h e   d e f a u l t   S e r v i c e A c c o u n t   o b j e c t   i n   a   n a m e s p a c e ,   t h e   c o n t r o l   p l a n e   r e p l a c e s   i t   w i t h   a   n e w   o n e .   I f   y o u   d e p l o y   a   P o d   i n   a   n a m e s p a c e ,   a n d   y o u   d o n ' t   m a n u a l l y   a s s i g n   a   S e r v i c e A c c o u n t   t o   t h e   P o d ,   K u b e r n e t e s   a s s i g n s   t h e   d e f a u l t   S e r v i c e A c c o u n t   f o r   t h a t   n a m e s p a c e   t o   t h e   P o d .


Question: What is Use cases for Kubernetes service accounts?

Answer: A s   a   g e n e r a l   g u i d e l i n e ,   y o u   c a n   u s e   s e r v i c e   a c c o u n t s   t o   p r o v i d e   i d e n t i t i e s   i n   t h e   f o l l o w i n g   s c e n a r i o s :   Y o u r   P o d s   n e e d   t o   c o m m u n i c a t e   w i t h   t h e   K u b e r n e t e s   A P I   s e r v e r ,   f o r   e x a m p l e   i n   s i t u a t i o n s   s u c h   a s   t h e   f o l l o w i n g : P r o v i d i n g   r e a d - o n l y   a c c e s s   t o   s e n s i t i v e   i n f o r m a t i o n   s t o r e d   i n   S e c r e t s . G r a n t i n g   c r o s s - n a m e s p a c e   a c c e s s ,   s u c h   a s   a l l o w i n g   a   P o d   i n   n a m e s p a c e   e x a m p l e   t o   r e a d ,   l i s t ,   a n d   w a t c h   f o r   L e a s e   o b j e c t s   i n   t h e   k u b e - n o d e - l e a s e   n a m e s p a c e . Y o u r   P o d s   n e e d   t o   c o m m u n i c a t e   w i t h   a n   e x t e r n a l   s e r v i c e .   F o r   e x a m p l e ,   a   w o r k l o a d   P o d   r e q u i r e s   a n   i d e n t i t y   f o r   a   c o m m e r c i a l l y   a v a i l a b l e   c l o u d   A P I ,   a n d   t h e   c o m m e r c i a l   p r o v i d e r   a l l o w s   c o n f i g u r i n g   a   s u i t a b l e   t r u s t   r e l a t i o n s h i p . A u t h e n t i c a t i n g   t o   a   p r i v a t e   i m a g e   r e g i s t r y   u s i n g   a n   i m a g e P u l l S e c r e t . A n   e x t e r n a l   s e r v i c e   n e e d s   t o   c o m m u n i c a t e   w i t h   t h e   K u b e r n e t e s   A P I   s e r v e r .   F o r   e x a m p l e ,   a u t h e n t i c a t i n g   t o   t h e   c l u s t e r   a s   p a r t   o f   a   C I / C D   p i p e l i n e . Y o u   u s e   t h i r d - p a r t y   s e c u r i t y   s o f t w a r e   i n   y o u r   c l u s t e r   t h a t   r e l i e s   o n   t h e   S e r v i c e A c c o u n t   i d e n t i t y   o f   d i f f e r e n t   P o d s   t o   g r o u p   t h o s e


Question: What is How to use service accounts?

Answer: T o   u s e   a   K u b e r n e t e s   s e r v i c e   a c c o u n t ,   y o u   d o   t h e   f o l l o w i n g :   C r e a t e   a   S e r v i c e A c c o u n t   o b j e c t   u s i n g   a   K u b e r n e t e s   c l i e n t   l i k e   k u b e c t l   o r   a   m a n i f e s t   t h a t   d e f i n e s   t h e   o b j e c t . G r a n t   p e r m i s s i o n s   t o   t h e   S e r v i c e A c c o u n t   o b j e c t   u s i n g   a n   a u t h o r i z a t i o n   m e c h a n i s m   s u c h   a s   R B A C . A s s i g n   t h e   S e r v i c e A c c o u n t   o b j e c t   t o   P o d s   d u r i n g   P o d   c r e a t i o n . I f   y o u ' r e   u s i n g   t h e   i d e n t i t y   f r o m   a n   e x t e r n a l   s e r v i c e ,   r e t r i e v e   t h e   S e r v i c e A c c o u n t   t o k e n   a n d   u s e   i t   f r o m   t h a t   s e r v i c e   i n s t e a d .   C r e a t e   a   S e r v i c e A c c o u n t   o b j e c t   u s i n g   a   K u b e r n e t e s   c l i e n t   l i k e   k u b e c t l   o r   a   m a n i f e s t   t h a t   d e f i n e s   t h e   o b j e c t .   G r a n t   p e r m i s s i o n s   t o   t h e   S e r v i c e A c c o u n t   o b j e c t   u s i n g   a n   a u t h o r i z a t i o n   m e c h a n i s m   s u c h   a s   R B A C .   A s s i g n   t h e   S e r v i c e A c c o u n t   o b j e c t   t o   P o d s   d u r i n g   P o d   c r e a t i o n .   I f   y o u ' r e   u s i n g   t h e   i d e n t i t y   f r o m   a n   e x t e r n a l   s e r v i c e ,   r e t r i e v e   t h e   S e r v i c e A c c o u n t   t o k e n   a n d   u s e   i t   f r o m   t h a t   s e r v i c e   i n s t e a d .   F o r   i n s t r u c t i o n s ,   r e f e r   t o   C o n f i g u r e   S e r v i c e   A c c o u n t s   f o r   P o d s .


Question: What is Grant permissions to a ServiceAccount?

Answer: Y o u   c a n   u s e   t h e   b u i l t - i n   K u b e r n e t e s   r o l e - b a s e d   a c c e s s   c o n t r o l   ( R B A C )   m e c h a n i s m   t o   g r a n t   t h e   m i n i m u m   p e r m i s s i o n s   r e q u i r e d   b y   e a c h   s e r v i c e   a c c o u n t .   Y o u   c r e a t e   a   r o l e ,   w h i c h   g r a n t s   a c c e s s ,   a n d   t h e n   b i n d   t h e   r o l e   t o   y o u r   S e r v i c e A c c o u n t .   R B A C   l e t s   y o u   d e f i n e   a   m i n i m u m   s e t   o f   p e r m i s s i o n s   s o   t h a t   t h e   s e r v i c e   a c c o u n t   p e r m i s s i o n s   f o l l o w   t h e   p r i n c i p l e   o f   l e a s t   p r i v i l e g e .   P o d s   t h a t   u s e   t h a t   s e r v i c e   a c c o u n t   d o n ' t   g e t   m o r e   p e r m i s s i o n s   t h a n   a r e   r e q u i r e d   t o   f u n c t i o n   c o r r e c t l y .   F o r   i n s t r u c t i o n s ,   r e f e r   t o   S e r v i c e A c c o u n t   p e r m i s s i o n s .


Question: What is Cross-namespace access using a ServiceAccount?

Answer: Y o u   c a n   u s e   R B A C   t o   a l l o w   s e r v i c e   a c c o u n t s   i n   o n e   n a m e s p a c e   t o   p e r f o r m   a c t i o n s   o n   r e s o u r c e s   i n   a   d i f f e r e n t   n a m e s p a c e   i n   t h e   c l u s t e r .   F o r   e x a m p l e ,   c o n s i d e r   a   s c e n a r i o   w h e r e   y o u   h a v e   a   s e r v i c e   a c c o u n t   a n d   P o d   i n   t h e   d e v   n a m e s p a c e   a n d   y o u   w a n t   y o u r   P o d   t o   s e e   J o b s   r u n n i n g   i n   t h e   m a i n t e n a n c e   n a m e s p a c e .   Y o u   c o u l d   c r e a t e   a   R o l e   o b j e c t   t h a t   g r a n t s   p e r m i s s i o n s   t o   l i s t   J o b   o b j e c t s .   T h e n ,   y o u ' d   c r e a t e   a   R o l e B i n d i n g   o b j e c t   i n   t h e   m a i n t e n a n c e   n a m e s p a c e   t o   b i n d   t h e   R o l e   t o   t h e   S e r v i c e A c c o u n t   o b j e c t .   N o w ,   P o d s   i n   t h e   d e v   n a m e s p a c e   c a n   l i s t   J o b   o b j e c t s   i n   t h e   m a i n t e n a n c e   n a m e s p a c e   u s i n g   t h a t   s e r v i c e   a c c o u n t .


Question: What is Assign a ServiceAccount to a Pod?

Answer: T o   a s s i g n   a   S e r v i c e A c c o u n t   t o   a   P o d ,   y o u   s e t   t h e   s p e c . s e r v i c e A c c o u n t N a m e   f i e l d   i n   t h e   P o d   s p e c i f i c a t i o n .   K u b e r n e t e s   t h e n   a u t o m a t i c a l l y   p r o v i d e s   t h e   c r e d e n t i a l s   f o r   t h a t   S e r v i c e A c c o u n t   t o   t h e   P o d .   I n   v 1 . 2 2   a n d   l a t e r ,   K u b e r n e t e s   g e t s   a   s h o r t - l i v e d ,   a u t o m a t i c a l l y   r o t a t i n g   t o k e n   u s i n g   t h e   T o k e n R e q u e s t   A P I   a n d   m o u n t s   t h e   t o k e n   a s   a   p r o j e c t e d   v o l u m e .   B y   d e f a u l t ,   K u b e r n e t e s   p r o v i d e s   t h e   P o d   w i t h   t h e   c r e d e n t i a l s   f o r   a n   a s s i g n e d   S e r v i c e A c c o u n t ,   w h e t h e r   t h a t   i s   t h e   d e f a u l t   S e r v i c e A c c o u n t   o r   a   c u s t o m   S e r v i c e A c c o u n t   t h a t   y o u   s p e c i f y .   T o   p r e v e n t   K u b e r n e t e s   f r o m   a u t o m a t i c a l l y   i n j e c t i n g   c r e d e n t i a l s   f o r   a   s p e c i f i e d   S e r v i c e A c c o u n t   o r   t h e   d e f a u l t   S e r v i c e A c c o u n t ,   s e t   t h e   a u t o m o u n t S e r v i c e A c c o u n t T o k e n   f i e l d   i n   y o u r   P o d   s p e c i f i c a t i o n   t o   f a l s e .   I n   v e r s i o n s   e a r l i e r   t h a n   1 . 2 2 ,   K u b e r n e t e s   p r o v i d e s   a   l o n g - l i v e d ,   s t a t i c   t o k e n   t o   t h e   P o d   a s   a   S e c r e t .


Question: What is Manually retrieve ServiceAccount credentials?

Answer: I f   y o u   n e e d   t h e   c r e d e n t i a l s   f o r   a   S e r v i c e A c c o u n t   t o   m o u n t   i n   a   n o n - s t a n d a r d   l o c a t i o n ,   o r   f o r   a n   a u d i e n c e   t h a t   i s n ' t   t h e   A P I   s e r v e r ,   u s e   o n e   o f   t h e   f o l l o w i n g   m e t h o d s :   T o k e n R e q u e s t   A P I   ( r e c o m m e n d e d ) :   R e q u e s t   a   s h o r t - l i v e d   s e r v i c e   a c c o u n t   t o k e n   f r o m   w i t h i n   y o u r   o w n   a p p l i c a t i o n   c o d e .   T h e   t o k e n   e x p i r e s   a u t o m a t i c a l l y   a n d   c a n   r o t a t e   u p o n   e x p i r a t i o n .   I f   y o u   h a v e   a   l e g a c y   a p p l i c a t i o n   t h a t   i s   n o t   a w a r e   o f   K u b e r n e t e s ,   y o u   c o u l d   u s e   a   s i d e c a r   c o n t a i n e r   w i t h i n   t h e   s a m e   p o d   t o   f e t c h   t h e s e   t o k e n s   a n d   m a k e   t h e m   a v a i l a b l e   t o   t h e   a p p l i c a t i o n   w o r k l o a d . T o k e n   V o l u m e   P r o j e c t i o n   ( a l s o   r e c o m m e n d e d ) :   I n   K u b e r n e t e s   v 1 . 2 0   a n d   l a t e r ,   u s e   t h e   P o d   s p e c i f i c a t i o n   t o   t e l l   t h e   k u b e l e t   t o   a d d   t h e   s e r v i c e   a c c o u n t   t o k e n   t o   t h e   P o d   a s   a   p r o j e c t e d   v o l u m e .   P r o j e c t e d   t o k e n s   e x p i r e   a u t o m a t i c a l l y ,   a n d   t h e   k u b e l e t   r o t a t e s   t h e   t o k e n   b e f o r e   i t   e x p i r e s . S e r v i c e   A c c o u n t   T o k e n   S e c r e t s   ( n o t   r e c o m m e n d e d ) :   Y o u   c a n   m o u n t   s e r v i c e   a c c o u n t   t o k e n s   a s   K u b e r n e t e s   S e c r e t s   i n   P o d s .   T h e s e   t o k e n s   d o n ' t   e x p i r e   a n d   d o n ' t   r o t a t e .   I n   v e r s i o n s   p r i o r   t o


Question: What is Note:?

Answer: F o r   a p p l i c a t i o n s   r u n n i n g   o u t s i d e   y o u r   K u b e r n e t e s   c l u s t e r ,   y o u   m i g h t   b e   c o n s i d e r i n g   c r e a t i n g   a   l o n g - l i v e d   S e r v i c e A c c o u n t   t o k e n   t h a t   i s   s t o r e d   i n   a   S e c r e t .   T h i s   a l l o w s   a u t h e n t i c a t i o n ,   b u t   t h e   K u b e r n e t e s   p r o j e c t   r e c o m m e n d s   y o u   a v o i d   t h i s   a p p r o a c h .   L o n g - l i v e d   b e a r e r   t o k e n s   r e p r e s e n t   a   s e c u r i t y   r i s k   a s ,   o n c e   d i s c l o s e d ,   t h e   t o k e n   c a n   b e   m i s u s e d .   I n s t e a d ,   c o n s i d e r   u s i n g   a n   a l t e r n a t i v e .   F o r   e x a m p l e ,   y o u r   e x t e r n a l   a p p l i c a t i o n   c a n   a u t h e n t i c a t e   u s i n g   a   w e l l - p r o t e c t e d   p r i v a t e   k e y   a n d   a   c e r t i f i c a t e ,   o r   u s i n g   a   c u s t o m   m e c h a n i s m   s u c h   a s   a n   a u t h e n t i c a t i o n   w e b h o o k   t h a t   y o u   i m p l e m e n t   y o u r s e l f .   Y o u   c a n   a l s o   u s e   T o k e n R e q u e s t   t o   o b t a i n   s h o r t - l i v e d   t o k e n s   f o r   y o u r   e x t e r n a l   a p p l i c a t i o n .


Question: What is Note:?

Answer: K u b e r n e t e s   p r o v i d e s   a n   a n n o t a t i o n   c a l l e d   k u b e r n e t e s . i o / e n f o r c e - m o u n t a b l e - s e c r e t s   t h a t   y o u   c a n   a d d   t o   y o u r   S e r v i c e A c c o u n t s .   W h e n   t h i s   a n n o t a t i o n   i s   a p p l i e d ,   t h e   S e r v i c e A c c o u n t ' s   s e c r e t s   c a n   o n l y   b e   m o u n t e d   o n   s p e c i f i e d   t y p e s   o f   r e s o u r c e s ,   e n h a n c i n g   t h e   s e c u r i t y   p o s t u r e   o f   y o u r   c l u s t e r .   Y o u   c a n   a d d   t h e   a n n o t a t i o n   t o   a   S e r v i c e A c c o u n t   u s i n g   a   m a n i f e s t :   a p i V e r s i o n :   v 1   k i n d :   S e r v i c e A c c o u n t   m e t a d a t a :   a n n o t a t i o n s :   k u b e r n e t e s . i o / e n f o r c e - m o u n t a b l e - s e c r e t s :   " t r u e "   n a m e :   m y - s e r v i c e a c c o u n t   n a m e s p a c e :   m y - n a m e s p a c e   W h e n   t h i s   a n n o t a t i o n   i s   s e t   t o   " t r u e " ,   t h e   K u b e r n e t e s   c o n t r o l   p l a n e   e n s u r e s   t h a t   t h e   S e c r e t s   f r o m   t h i s   S e r v i c e A c c o u n t   a r e   s u b j e c t   t o   c e r t a i n   m o u n t i n g   r e s t r i c t i o n s .   T h e   n a m e   o f   e a c h   S e c r e t   t h a t   i s   m o u n t e d   a s   a   v o l u m e   i n   a   P o d   m u s t   a p p e a r   i n   t h e   s e c r e t s   f i e l d   o f   t h e   P o d ' s   S e r v i c e A c c o u n t . T h e   n a m e   o f   e a c h   S e c r e t   r e f e r e n c e d   u s i n g   e n v F r o m   i n   a   P o d   m u s t   a l s o   a p p e a r   i n   t h e   s e c r e t s   f i e l d   o f   t h e   P o d ' s   S e r v i c e A c c o u n t . T h e   n a m e   o f   e a c h   S e c r e t   r e f e r e n c e d   u s i n g   i m a g e P u l l S e c r e t s   i n   a   P o d   m u s t   a l s o   a p p e a r


Question: What is Authenticating service account credentials?

Answer: S e r v i c e A c c o u n t s   u s e   s i g n e d   J S O N   W e b   T o k e n s   ( J W T s )   t o   a u t h e n t i c a t e   t o   t h e   K u b e r n e t e s   A P I   s e r v e r ,   a n d   t o   a n y   o t h e r   s y s t e m   w h e r e   a   t r u s t   r e l a t i o n s h i p   e x i s t s .   D e p e n d i n g   o n   h o w   t h e   t o k e n   w a s   i s s u e d   ( e i t h e r   t i m e - l i m i t e d   u s i n g   a   T o k e n R e q u e s t   o r   u s i n g   a   l e g a c y   m e c h a n i s m   w i t h   a   S e c r e t ) ,   a   S e r v i c e A c c o u n t   t o k e n   m i g h t   a l s o   h a v e   a n   e x p i r y   t i m e ,   a n   a u d i e n c e ,   a n d   a   t i m e   a f t e r   w h i c h   t h e   t o k e n   s t a r t s   b e i n g   v a l i d .   W h e n   a   c l i e n t   t h a t   i s   a c t i n g   a s   a   S e r v i c e A c c o u n t   t r i e s   t o   c o m m u n i c a t e   w i t h   t h e   K u b e r n e t e s   A P I   s e r v e r ,   t h e   c l i e n t   i n c l u d e s   a n   A u t h o r i z a t i o n :   B e a r e r   < t o k e n >   h e a d e r   w i t h   t h e   H T T P   r e q u e s t .   T h e   A P I   s e r v e r   c h e c k s   t h e   v a l i d i t y   o f   t h a t   b e a r e r   t o k e n   a s   f o l l o w s :   C h e c k s   t h e   t o k e n   s i g n a t u r e . C h e c k s   w h e t h e r   t h e   t o k e n   h a s   e x p i r e d . C h e c k s   w h e t h e r   o b j e c t   r e f e r e n c e s   i n   t h e   t o k e n   c l a i m s   a r e   c u r r e n t l y   v a l i d . C h e c k s   w h e t h e r   t h e   t o k e n   i s   c u r r e n t l y   v a l i d . C h e c k s   t h e   a u d i e n c e   c l a i m s .   T h e   T o k e n R e q u e s t   A P I   p r o d u c e s   b o u n d   t o k e n s   f o r   a   S e r v i c e A c c o u n t .   T h i s   b i n d i n g   i s   l i n k e d   t o   t h e   l i f e t i m e   o f   t h e   c l i e n t ,   s u c h   a s   a   P o d ,   t h a t


Question: What is Authenticating service account credentials in your own code?

Answer: I f   y o u   h a v e   s e r v i c e s   o f   y o u r   o w n   t h a t   n e e d   t o   v a l i d a t e   K u b e r n e t e s   s e r v i c e   a c c o u n t   c r e d e n t i a l s ,   y o u   c a n   u s e   t h e   f o l l o w i n g   m e t h o d s :   T o k e n R e v i e w   A P I   ( r e c o m m e n d e d ) O I D C   d i s c o v e r y   T h e   K u b e r n e t e s   p r o j e c t   r e c o m m e n d s   t h a t   y o u   u s e   t h e   T o k e n R e v i e w   A P I ,   b e c a u s e   t h i s   m e t h o d   i n v a l i d a t e s   t o k e n s   t h a t   a r e   b o u n d   t o   A P I   o b j e c t s   s u c h   a s   S e c r e t s ,   S e r v i c e A c c o u n t s ,   P o d s   o r   N o d e s   w h e n   t h o s e   o b j e c t s   a r e   d e l e t e d .   F o r   e x a m p l e ,   i f   y o u   d e l e t e   t h e   P o d   t h a t   c o n t a i n s   a   p r o j e c t e d   S e r v i c e A c c o u n t   t o k e n ,   t h e   c l u s t e r   i n v a l i d a t e s   t h a t   t o k e n   i m m e d i a t e l y   a n d   a   T o k e n R e v i e w   i m m e d i a t e l y   f a i l s .   I f   y o u   u s e   O I D C   v a l i d a t i o n   i n s t e a d ,   y o u r   c l i e n t s   c o n t i n u e   t o   t r e a t   t h e   t o k e n   a s   v a l i d   u n t i l   t h e   t o k e n   r e a c h e s   i t s   e x p i r a t i o n   t i m e s t a m p .   Y o u r   a p p l i c a t i o n   s h o u l d   a l w a y s   d e f i n e   t h e   a u d i e n c e   t h a t   i t   a c c e p t s ,   a n d   s h o u l d   c h e c k   t h a t   t h e   t o k e n ' s   a u d i e n c e s   m a t c h   t h e   a u d i e n c e s   t h a t   t h e   a p p l i c a t i o n   e x p e c t s .   T h i s   h e l p s   t o   m i n i m i z e   t h e   s c o p e   o f   t h e   t o k e n   s o   t h a t   i t   c a n   o n l y   b e   u s e d   i n   y o u r   a p p l i c a t i o n   a n d   n o w h e r e   e l s e .


Question: What is Alternatives?

Answer: I s s u e   y o u r   o w n   t o k e n s   u s i n g   a n o t h e r   m e c h a n i s m ,   a n d   t h e n   u s e   W e b h o o k   T o k e n   A u t h e n t i c a t i o n   t o   v a l i d a t e   b e a r e r   t o k e n s   u s i n g   y o u r   o w n   v a l i d a t i o n   s e r v i c e . P r o v i d e   y o u r   o w n   i d e n t i t i e s   t o   P o d s . U s e   t h e   S P I F F E   C S I   d r i v e r   p l u g i n   t o   p r o v i d e   S P I F F E   S V I D s   a s   X . 5 0 9   c e r t i f i c a t e   p a i r s   t o   P o d s . 🛇   T h i s   i t e m   l i n k s   t o   a   t h i r d   p a r t y   p r o j e c t   o r   p r o d u c t   t h a t   i s   n o t   p a r t   o f   K u b e r n e t e s   i t s e l f .   M o r e   i n f o r m a t i o n U s e   a   s e r v i c e   m e s h   s u c h   a s   I s t i o   t o   p r o v i d e   c e r t i f i c a t e s   t o   P o d s . A u t h e n t i c a t e   f r o m   o u t s i d e   t h e   c l u s t e r   t o   t h e   A P I   s e r v e r   w i t h o u t   u s i n g   s e r v i c e   a c c o u n t   t o k e n s : C o n f i g u r e   t h e   A P I   s e r v e r   t o   a c c e p t   O p e n I D   C o n n e c t   ( O I D C )   t o k e n s   f r o m   y o u r   i d e n t i t y   p r o v i d e r . U s e   s e r v i c e   a c c o u n t s   o r   u s e r   a c c o u n t s   c r e a t e d   u s i n g   a n   e x t e r n a l   I d e n t i t y   a n d   A c c e s s   M a n a g e m e n t   ( I A M )   s e r v i c e ,   s u c h   a s   f r o m   a   c l o u d   p r o v i d e r ,   t o   a u t h e n t i c a t e   t o   y o u r   c l u s t e r . U s e   t h e   C e r t i f i c a t e S i g n i n g R e q u e s t   A P I   w i t h   c l i e n t   c e r t i f i c a t e s . C o n f i g u r e   t h e   k u b e l e t   t o   r e t r i e v e   c r e d e n t i a l s   f r o m   a n   i m a g e   r e g i s t r y . U s e   a   D e v i c e   P l u g i n   t o   a c c e s s   a   v i r t u a l   T r u s t e d   P l a t f o r m   M o


Question: What is What's next?

Answer: L e a r n   h o w   t o   m a n a g e   y o u r   S e r v i c e A c c o u n t s   a s   a   c l u s t e r   a d m i n i s t r a t o r . L e a r n   h o w   t o   a s s i g n   a   S e r v i c e A c c o u n t   t o   a   P o d . R e a d   t h e   S e r v i c e A c c o u n t   A P I   r e f e r e n c e .


Question: What is Removed feature?

Answer: I n s t e a d   o f   u s i n g   P o d S e c u r i t y P o l i c y ,   y o u   c a n   e n f o r c e   s i m i l a r   r e s t r i c t i o n s   o n   P o d s   u s i n g   e i t h e r   o r   b o t h :   P o d   S e c u r i t y   A d m i s s i o n a   3 r d   p a r t y   a d m i s s i o n   p l u g i n ,   t h a t   y o u   d e p l o y   a n d   c o n f i g u r e   y o u r s e l f   F o r   a   m i g r a t i o n   g u i d e ,   s e e   M i g r a t e   f r o m   P o d S e c u r i t y P o l i c y   t o   t h e   B u i l t - I n   P o d S e c u r i t y   A d m i s s i o n   C o n t r o l l e r .   F o r   m o r e   i n f o r m a t i o n   o n   t h e   r e m o v a l   o f   t h i s   A P I ,   s e e   P o d S e c u r i t y P o l i c y   D e p r e c a t i o n :   P a s t ,   P r e s e n t ,   a n d   F u t u r e .   I f   y o u   a r e   n o t   r u n n i n g   K u b e r n e t e s   v 1 . 3 4 ,   c h e c k   t h e   d o c u m e n t a t i o n   f o r   y o u r   v e r s i o n   o f   K u b e r n e t e s .


Question: What is 8.6 - Security For Linux Nodes?

Answer: T h i s   p a g e   d e s c r i b e s   s e c u r i t y   c o n s i d e r a t i o n s   a n d   b e s t   p r a c t i c e s   s p e c i f i c   t o   t h e   L i n u x   o p e r a t i n g   s y s t e m .


Question: What is Protection for Secret data on nodes?

Answer: O n   L i n u x   n o d e s ,   m e m o r y - b a c k e d   v o l u m e s   ( s u c h   a s   s e c r e t   v o l u m e   m o u n t s ,   o r   e m p t y D i r   w i t h   m e d i u m :   M e m o r y )   a r e   i m p l e m e n t e d   w i t h   a   t m p f s   f i l e s y s t e m .   I f   y o u   h a v e   s w a p   c o n f i g u r e d   a n d   u s e   a n   o l d e r   L i n u x   k e r n e l   ( o r   a   c u r r e n t   k e r n e l   a n d   a n   u n s u p p o r t e d   c o n f i g u r a t i o n   o f   K u b e r n e t e s ) ,   m e m o r y   b a c k e d   v o l u m e s   c a n   h a v e   d a t a   w r i t t e n   t o   p e r s i s t e n t   s t o r a g e .   T h e   L i n u x   k e r n e l   o f f i c i a l l y   s u p p o r t s   t h e   n o s w a p   o p t i o n   f r o m   v e r s i o n   6 . 3 ,   t h e r e f o r e   i t   i s   r e c o m m e n d e d   t h e   u s e d   k e r n e l   v e r s i o n   i s   6 . 3   o r   l a t e r ,   o r   s u p p o r t s   t h e   n o s w a p   o p t i o n   v i a   a   b a c k p o r t ,   i f   s w a p   i s   e n a b l e d   o n   t h e   n o d e .   R e a d   s w a p   m e m o r y   m a n a g e m e n t   f o r   m o r e   i n f o .


Question: What is 8.7 - Security For Windows Nodes?

Answer: T h i s   p a g e   d e s c r i b e s   s e c u r i t y   c o n s i d e r a t i o n s   a n d   b e s t   p r a c t i c e s   s p e c i f i c   t o   t h e   W i n d o w s   o p e r a t i n g   s y s t e m .


Question: What is Protection for Secret data on nodes?

Answer: O n   W i n d o w s ,   d a t a   f r o m   S e c r e t s   a r e   w r i t t e n   o u t   i n   c l e a r   t e x t   o n t o   t h e   n o d e ' s   l o c a l   s t o r a g e   ( a s   c o m p a r e d   t o   u s i n g   t m p f s   /   i n - m e m o r y   f i l e s y s t e m s   o n   L i n u x ) .   A s   a   c l u s t e r   o p e r a t o r ,   y o u   s h o u l d   t a k e   b o t h   o f   t h e   f o l l o w i n g   a d d i t i o n a l   m e a s u r e s :   U s e   f i l e   A C L s   t o   s e c u r e   t h e   S e c r e t s '   f i l e   l o c a t i o n . A p p l y   v o l u m e - l e v e l   e n c r y p t i o n   u s i n g   B i t L o c k e r .


Question: What is Container users?

Answer: R u n A s U s e r n a m e   c a n   b e   s p e c i f i e d   f o r   W i n d o w s   P o d s   o r   c o n t a i n e r s   t o   e x e c u t e   t h e   c o n t a i n e r   p r o c e s s e s   a s   s p e c i f i c   u s e r .   T h i s   i s   r o u g h l y   e q u i v a l e n t   t o   R u n A s U s e r .   W i n d o w s   c o n t a i n e r s   o f f e r   t w o   d e f a u l t   u s e r   a c c o u n t s ,   C o n t a i n e r U s e r   a n d   C o n t a i n e r A d m i n i s t r a t o r .   T h e   d i f f e r e n c e s   b e t w e e n   t h e s e   t w o   u s e r   a c c o u n t s   a r e   c o v e r e d   i n   W h e n   t o   u s e   C o n t a i n e r A d m i n   a n d   C o n t a i n e r U s e r   u s e r   a c c o u n t s   w i t h i n   M i c r o s o f t ' s   S e c u r e   W i n d o w s   c o n t a i n e r s   d o c u m e n t a t i o n .   L o c a l   u s e r s   c a n   b e   a d d e d   t o   c o n t a i n e r   i m a g e s   d u r i n g   t h e   c o n t a i n e r   b u i l d   p r o c e s s .


Question: What is Note:?

Answer: N a n o   S e r v e r   b a s e d   i m a g e s   r u n   a s   C o n t a i n e r U s e r   b y   d e f a u l t S e r v e r   C o r e   b a s e d   i m a g e s   r u n   a s   C o n t a i n e r A d m i n i s t r a t o r   b y   d e f a u l t   W i n d o w s   c o n t a i n e r s   c a n   a l s o   r u n   a s   A c t i v e   D i r e c t o r y   i d e n t i t i e s   b y   u t i l i z i n g   G r o u p   M a n a g e d   S e r v i c e   A c c o u n t s


Question: What is Pod-level security isolation?

Answer: L i n u x - s p e c i f i c   p o d   s e c u r i t y   c o n t e x t   m e c h a n i s m s   ( s u c h   a s   S E L i n u x ,   A p p A r m o r ,   S e c c o m p ,   o r   c u s t o m   P O S I X   c a p a b i l i t i e s )   a r e   n o t   s u p p o r t e d   o n   W i n d o w s   n o d e s .   P r i v i l e g e d   c o n t a i n e r s   a r e   n o t   s u p p o r t e d   o n   W i n d o w s .   I n s t e a d   H o s t P r o c e s s   c o n t a i n e r s   c a n   b e   u s e d   o n   W i n d o w s   t o   p e r f o r m   m a n y   o f   t h e   t a s k s   p e r f o r m e d   b y   p r i v i l e g e d   c o n t a i n e r s   o n   L i n u x .


Question: What is 8.8 - Controlling Access to the Kubernetes API?

Answer: T h i s   p a g e   p r o v i d e s   a n   o v e r v i e w   o f   c o n t r o l l i n g   a c c e s s   t o   t h e   K u b e r n e t e s   A P I .   U s e r s   a c c e s s   t h e   K u b e r n e t e s   A P I   u s i n g   k u b e c t l ,   c l i e n t   l i b r a r i e s ,   o r   b y   m a k i n g   R E S T   r e q u e s t s .   B o t h   h u m a n   u s e r s   a n d   K u b e r n e t e s   s e r v i c e   a c c o u n t s   c a n   b e   a u t h o r i z e d   f o r   A P I   a c c e s s .   W h e n   a   r e q u e s t   r e a c h e s   t h e   A P I ,   i t   g o e s   t h r o u g h   s e v e r a l   s t a g e s ,   i l l u s t r a t e d   i n   t h e   f o l l o w i n g   d i a g r a m :


Question: What is Transport security?

Answer: B y   d e f a u l t ,   t h e   K u b e r n e t e s   A P I   s e r v e r   l i s t e n s   o n   p o r t   6 4 4 3   o n   t h e   f i r s t   n o n - l o c a l h o s t   n e t w o r k   i n t e r f a c e ,   p r o t e c t e d   b y   T L S .   I n   a   t y p i c a l   p r o d u c t i o n   K u b e r n e t e s   c l u s t e r ,   t h e   A P I   s e r v e s   o n   p o r t   4 4 3 .   T h e   p o r t   c a n   b e   c h a n g e d   w i t h   t h e   - - s e c u r e - p o r t ,   a n d   t h e   l i s t e n i n g   I P   a d d r e s s   w i t h   t h e   - - b i n d - a d d r e s s   f l a g .   T h e   A P I   s e r v e r   p r e s e n t s   a   c e r t i f i c a t e .   T h i s   c e r t i f i c a t e   m a y   b e   s i g n e d   u s i n g   a   p r i v a t e   c e r t i f i c a t e   a u t h o r i t y   ( C A ) ,   o r   b a s e d   o n   a   p u b l i c   k e y   i n f r a s t r u c t u r e   l i n k e d   t o   a   g e n e r a l l y   r e c o g n i z e d   C A .   T h e   c e r t i f i c a t e   a n d   c o r r e s p o n d i n g   p r i v a t e   k e y   c a n   b e   s e t   b y   u s i n g   t h e   - - t l s - c e r t - f i l e   a n d   - - t l s - p r i v a t e - k e y - f i l e   f l a g s .   I f   y o u r   c l u s t e r   u s e s   a   p r i v a t e   c e r t i f i c a t e   a u t h o r i t y ,   y o u   n e e d   a   c o p y   o f   t h a t   C A   c e r t i f i c a t e   c o n f i g u r e d   i n t o   y o u r   ~ / . k u b e / c o n f i g   o n   t h e   c l i e n t ,   s o   t h a t   y o u   c a n   t r u s t   t h e   c o n n e c t i o n   a n d   b e   c o n f i d e n t   i t   w a s   n o t   i n t e r c e p t e d .   Y o u r   c l i e n t   c a n   p r e s e n t   a   T L S   c l i e n t   c e r t i f i c a t e   a t   t h i s   s t a g e .


Question: What is Authentication?

Answer: O n c e   T L S   i s   e s t a b l i s h e d ,   t h e   H T T P   r e q u e s t   m o v e s   t o   t h e   A u t h e n t i c a t i o n   s t e p .   T h i s   i s   s h o w n   a s   s t e p   1   i n   t h e   d i a g r a m .   T h e   c l u s t e r   c r e a t i o n   s c r i p t   o r   c l u s t e r   a d m i n   c o n f i g u r e s   t h e   A P I   s e r v e r   t o   r u n   o n e   o r   m o r e   A u t h e n t i c a t o r   m o d u l e s .   A u t h e n t i c a t o r s   a r e   d e s c r i b e d   i n   m o r e   d e t a i l   i n   A u t h e n t i c a t i o n .   T h e   i n p u t   t o   t h e   a u t h e n t i c a t i o n   s t e p   i s   t h e   e n t i r e   H T T P   r e q u e s t ;   h o w e v e r ,   i t   t y p i c a l l y   e x a m i n e s   t h e   h e a d e r s   a n d / o r   c l i e n t   c e r t i f i c a t e .   A u t h e n t i c a t i o n   m o d u l e s   i n c l u d e   c l i e n t   c e r t i f i c a t e s ,   p a s s w o r d ,   a n d   p l a i n   t o k e n s ,   b o o t s t r a p   t o k e n s ,   a n d   J S O N   W e b   T o k e n s   ( u s e d   f o r   s e r v i c e   a c c o u n t s ) .   M u l t i p l e   a u t h e n t i c a t i o n   m o d u l e s   c a n   b e   s p e c i f i e d ,   i n   w h i c h   c a s e   e a c h   o n e   i s   t r i e d   i n   s e q u e n c e ,   u n t i l   o n e   o f   t h e m   s u c c e e d s .   I f   t h e   r e q u e s t   c a n n o t   b e   a u t h e n t i c a t e d ,   i t   i s   r e j e c t e d   w i t h   H T T P   s t a t u s   c o d e   4 0 1 .   O t h e r w i s e ,   t h e   u s e r   i s   a u t h e n t i c a t e d   a s   a   s p e c i f i c   u s e r n a m e ,   a n d   t h e   u s e r   n a m e   i s   a v a i l a b l e   t o   s u b s e q u e n t   s t e p s   t o   u s e   i n   t h e i r   d e c i s i o n s .   S o m e   a u t h e n t i c a t o r s   a l s o   p r o v i d e   t h e   g r o u p   m e m b e r s h i p s   o f   t h e   u s e r ,   w h i l e   o t h e r   a u


Question: What is Authorization?

Answer: A f t e r   t h e   r e q u e s t   i s   a u t h e n t i c a t e d   a s   c o m i n g   f r o m   a   s p e c i f i c   u s e r ,   t h e   r e q u e s t   m u s t   b e   a u t h o r i z e d .   T h i s   i s   s h o w n   a s   s t e p   2   i n   t h e   d i a g r a m .   A   r e q u e s t   m u s t   i n c l u d e   t h e   u s e r n a m e   o f   t h e   r e q u e s t e r ,   t h e   r e q u e s t e d   a c t i o n ,   a n d   t h e   o b j e c t   a f f e c t e d   b y   t h e   a c t i o n .   T h e   r e q u e s t   i s   a u t h o r i z e d   i f   a n   e x i s t i n g   p o l i c y   d e c l a r e s   t h a t   t h e   u s e r   h a s   p e r m i s s i o n s   t o   c o m p l e t e   t h e   r e q u e s t e d   a c t i o n .   F o r   e x a m p l e ,   i f   B o b   h a s   t h e   p o l i c y   b e l o w ,   t h e n   h e   c a n   r e a d   p o d s   o n l y   i n   t h e   n a m e s p a c e   p r o j e c t C a r i b o u :   {   " a p i V e r s i o n " :   " a b a c . a u t h o r i z a t i o n . k u b e r n e t e s . i o / v 1 b e t a 1 " ,   " k i n d " :   " P o l i c y " ,   " s p e c " :   {   " u s e r " :   " b o b " ,   " n a m e s p a c e " :   " p r o j e c t C a r i b o u " ,   " r e s o u r c e " :   " p o d s " ,   " r e a d o n l y " :   t r u e   }   }   I f   B o b   m a k e s   t h e   f o l l o w i n g   r e q u e s t ,   t h e   r e q u e s t   i s   a u t h o r i z e d   b e c a u s e   h e   i s   a l l o w e d   t o   r e a d   o b j e c t s   i n   t h e   p r o j e c t C a r i b o u   n a m e s p a c e :   {   " a p i V e r s i o n " :   " a u t h o r i z a t i o n . k 8 s . i o / v 1 b e t a 1 " ,   " k i n d " :   " S u b j e c t A c c e s s R e v i e w " ,   " s p e c " :   {   " r e s o u r c e A t t r i b u t e s " :   {   " n a m e s p a c e " :   " p r o j e c t C a r i b o u " ,   " v e r b " :   " g e t " ,   " g r o u p " :   " u n i c o r n . e x a m p l e . o r g " ,   " r e s o u r c e " :   " p o d s "   }   }   }


Question: What is Admission control?

Answer: A d m i s s i o n   C o n t r o l   m o d u l e s   a r e   s o f t w a r e   m o d u l e s   t h a t   c a n   m o d i f y   o r   r e j e c t   r e q u e s t s .   I n   a d d i t i o n   t o   t h e   a t t r i b u t e s   a v a i l a b l e   t o   A u t h o r i z a t i o n   m o d u l e s ,   A d m i s s i o n   C o n t r o l   m o d u l e s   c a n   a c c e s s   t h e   c o n t e n t s   o f   t h e   o b j e c t   t h a t   i s   b e i n g   c r e a t e d   o r   m o d i f i e d .   A d m i s s i o n   c o n t r o l l e r s   a c t   o n   r e q u e s t s   t h a t   c r e a t e ,   m o d i f y ,   d e l e t e ,   o r   c o n n e c t   t o   ( p r o x y )   a n   o b j e c t .   A d m i s s i o n   c o n t r o l l e r s   d o   n o t   a c t   o n   r e q u e s t s   t h a t   m e r e l y   r e a d   o b j e c t s .   W h e n   m u l t i p l e   a d m i s s i o n   c o n t r o l l e r s   a r e   c o n f i g u r e d ,   t h e y   a r e   c a l l e d   i n   o r d e r .   T h i s   i s   s h o w n   a s   s t e p   3   i n   t h e   d i a g r a m .   U n l i k e   A u t h e n t i c a t i o n   a n d   A u t h o r i z a t i o n   m o d u l e s ,   i f   a n y   a d m i s s i o n   c o n t r o l l e r   m o d u l e   r e j e c t s ,   t h e n   t h e   r e q u e s t   i s   i m m e d i a t e l y   r e j e c t e d .   I n   a d d i t i o n   t o   r e j e c t i n g   o b j e c t s ,   a d m i s s i o n   c o n t r o l l e r s   c a n   a l s o   s e t   c o m p l e x   d e f a u l t s   f o r   f i e l d s .   T h e   a v a i l a b l e   A d m i s s i o n   C o n t r o l   m o d u l e s   a r e   d e s c r i b e d   i n   A d m i s s i o n   C o n t r o l l e r s .   O n c e   a   r e q u e s t   p a s s e s   a l l   a d m i s s i o n   c o n t r o l l e r s ,   i t   i s   v a l i d a t e d   u s i n g   t h e   v a l i d a t i o n   r o u t i n e s   f o r   t h e   c o r r e s p o n d i n g   A P I   o b j e c t ,   a n d   t h e n   w r i t t e n   t o   t


Question: What is Auditing?

Answer: K u b e r n e t e s   a u d i t i n g   p r o v i d e s   a   s e c u r i t y - r e l e v a n t ,   c h r o n o l o g i c a l   s e t   o f   r e c o r d s   d o c u m e n t i n g   t h e   s e q u e n c e   o f   a c t i o n s   i n   a   c l u s t e r .   T h e   c l u s t e r   a u d i t s   t h e   a c t i v i t i e s   g e n e r a t e d   b y   u s e r s ,   b y   a p p l i c a t i o n s   t h a t   u s e   t h e   K u b e r n e t e s   A P I ,   a n d   b y   t h e   c o n t r o l   p l a n e   i t s e l f .   F o r   m o r e   i n f o r m a t i o n ,   s e e   A u d i t i n g .


Question: What is What's next?

Answer: R e a d   m o r e   d o c u m e n t a t i o n   o n   a u t h e n t i c a t i o n ,   a u t h o r i z a t i o n   a n d   A P I   a c c e s s   c o n t r o l :   A u t h e n t i c a t i n g A u t h e n t i c a t i n g   w i t h   B o o t s t r a p   T o k e n s A d m i s s i o n   C o n t r o l l e r s D y n a m i c   A d m i s s i o n   C o n t r o l A u t h o r i z a t i o n R o l e   B a s e d   A c c e s s   C o n t r o l A t t r i b u t e   B a s e d   A c c e s s   C o n t r o l N o d e   A u t h o r i z a t i o n W e b h o o k   A u t h o r i z a t i o n C e r t i f i c a t e   S i g n i n g   R e q u e s t s i n c l u d i n g   C S R   a p p r o v a l   a n d   c e r t i f i c a t e   s i g n i n g S e r v i c e   a c c o u n t s D e v e l o p e r   g u i d e A d m i n i s t r a t i o n   A u t h e n t i c a t i n g   w i t h   B o o t s t r a p   T o k e n s   D y n a m i c   A d m i s s i o n   C o n t r o l   R o l e   B a s e d   A c c e s s   C o n t r o l A t t r i b u t e   B a s e d   A c c e s s   C o n t r o l N o d e   A u t h o r i z a t i o n W e b h o o k   A u t h o r i z a t i o n   i n c l u d i n g   C S R   a p p r o v a l   a n d   c e r t i f i c a t e   s i g n i n g   D e v e l o p e r   g u i d e A d m i n i s t r a t i o n   Y o u   c a n   l e a r n   a b o u t :   h o w   P o d s   c a n   u s e   S e c r e t s   t o   o b t a i n   A P I   c r e d e n t i a l s .


Question: What is 8.9 - Role Based Access Control Good Practices?

Answer: K u b e r n e t e s   R B A C   i s   a   k e y   s e c u r i t y   c o n t r o l   t o   e n s u r e   t h a t   c l u s t e r   u s e r s   a n d   w o r k l o a d s   h a v e   o n l y   t h e   a c c e s s   t o   r e s o u r c e s   r e q u i r e d   t o   e x e c u t e   t h e i r   r o l e s .   I t   i s   i m p o r t a n t   t o   e n s u r e   t h a t ,   w h e n   d e s i g n i n g   p e r m i s s i o n s   f o r   c l u s t e r   u s e r s ,   t h e   c l u s t e r   a d m i n i s t r a t o r   u n d e r s t a n d s   t h e   a r e a s   w h e r e   p r i v i l e g e   e s c a l a t i o n   c o u l d   o c c u r ,   t o   r e d u c e   t h e   r i s k   o f   e x c e s s i v e   a c c e s s   l e a d i n g   t o   s e c u r i t y   i n c i d e n t s .   T h e   g o o d   p r a c t i c e s   l a i d   o u t   h e r e   s h o u l d   b e   r e a d   i n   c o n j u n c t i o n   w i t h   t h e   g e n e r a l   R B A C   d o c u m e n t a t i o n .


Question: What is Least privilege?

Answer: I d e a l l y ,   m i n i m a l   R B A C   r i g h t s   s h o u l d   b e   a s s i g n e d   t o   u s e r s   a n d   s e r v i c e   a c c o u n t s .   O n l y   p e r m i s s i o n s   e x p l i c i t l y   r e q u i r e d   f o r   t h e i r   o p e r a t i o n   s h o u l d   b e   u s e d .   W h i l e   e a c h   c l u s t e r   w i l l   b e   d i f f e r e n t ,   s o m e   g e n e r a l   r u l e s   t h a t   c a n   b e   a p p l i e d   a r e   :   A s s i g n   p e r m i s s i o n s   a t   t h e   n a m e s p a c e   l e v e l   w h e r e   p o s s i b l e .   U s e   R o l e B i n d i n g s   a s   o p p o s e d   t o   C l u s t e r R o l e B i n d i n g s   t o   g i v e   u s e r s   r i g h t s   o n l y   w i t h i n   a   s p e c i f i c   n a m e s p a c e . A v o i d   p r o v i d i n g   w i l d c a r d   p e r m i s s i o n s   w h e n   p o s s i b l e ,   e s p e c i a l l y   t o   a l l   r e s o u r c e s .   A s   K u b e r n e t e s   i s   a n   e x t e n s i b l e   s y s t e m ,   p r o v i d i n g   w i l d c a r d   a c c e s s   g i v e s   r i g h t s   n o t   j u s t   t o   a l l   o b j e c t   t y p e s   t h a t   c u r r e n t l y   e x i s t   i n   t h e   c l u s t e r ,   b u t   a l s o   t o   a l l   o b j e c t   t y p e s   w h i c h   a r e   c r e a t e d   i n   t h e   f u t u r e . A d m i n i s t r a t o r s   s h o u l d   n o t   u s e   c l u s t e r - a d m i n   a c c o u n t s   e x c e p t   w h e r e   s p e c i f i c a l l y   n e e d e d .   P r o v i d i n g   a   l o w   p r i v i l e g e d   a c c o u n t   w i t h   i m p e r s o n a t i o n   r i g h t s   c a n   a v o i d   a c c i d e n t a l   m o d i f i c a t i o n   o f   c l u s t e r   r e s o u r c e s . A v o i d   a d d i n g   u s e r s   t o   t h e   s y s t e m : m a s t e r s   g r o u p .   A n y   u s e r   w h o   i s   a   m e m b e r   o f   t h i s   g r o u p   b y p a s s e s   a l l   R B A C   r i g h t s   c


Question: What is Minimize distribution of privileged tokens?

Answer: I d e a l l y ,   p o d s   s h o u l d n ' t   b e   a s s i g n e d   s e r v i c e   a c c o u n t s   t h a t   h a v e   b e e n   g r a n t e d   p o w e r f u l   p e r m i s s i o n s   ( f o r   e x a m p l e ,   a n y   o f   t h e   r i g h t s   l i s t e d   u n d e r   p r i v i l e g e   e s c a l a t i o n   r i s k s ) .   I n   c a s e s   w h e r e   a   w o r k l o a d   r e q u i r e s   p o w e r f u l   p e r m i s s i o n s ,   c o n s i d e r   t h e   f o l l o w i n g   p r a c t i c e s :   L i m i t   t h e   n u m b e r   o f   n o d e s   r u n n i n g   p o w e r f u l   p o d s .   E n s u r e   t h a t   a n y   D a e m o n S e t s   y o u   r u n   a r e   n e c e s s a r y   a n d   a r e   r u n   w i t h   l e a s t   p r i v i l e g e   t o   l i m i t   t h e   b l a s t   r a d i u s   o f   c o n t a i n e r   e s c a p e s . A v o i d   r u n n i n g   p o w e r f u l   p o d s   a l o n g s i d e   u n t r u s t e d   o r   p u b l i c l y - e x p o s e d   o n e s .   C o n s i d e r   u s i n g   T a i n t s   a n d   T o l e r a t i o n ,   N o d e A f f i n i t y ,   o r   P o d A n t i A f f i n i t y   t o   e n s u r e   p o d s   d o n ' t   r u n   a l o n g s i d e   u n t r u s t e d   o r   l e s s - t r u s t e d   P o d s .   P a y   s p e c i a l   a t t e n t i o n   t o   s i t u a t i o n s   w h e r e   l e s s - t r u s t w o r t h y   P o d s   a r e   n o t   m e e t i n g   t h e   R e s t r i c t e d   P o d   S e c u r i t y   S t a n d a r d .


Question: What is Hardening?

Answer: K u b e r n e t e s   d e f a u l t s   t o   p r o v i d i n g   a c c e s s   w h i c h   m a y   n o t   b e   r e q u i r e d   i n   e v e r y   c l u s t e r .   R e v i e w i n g   t h e   R B A C   r i g h t s   p r o v i d e d   b y   d e f a u l t   c a n   p r o v i d e   o p p o r t u n i t i e s   f o r   s e c u r i t y   h a r d e n i n g .   I n   g e n e r a l ,   c h a n g e s   s h o u l d   n o t   b e   m a d e   t o   r i g h t s   p r o v i d e d   t o   s y s t e m :   a c c o u n t s   s o m e   o p t i o n s   t o   h a r d e n   c l u s t e r   r i g h t s   e x i s t :   R e v i e w   b i n d i n g s   f o r   t h e   s y s t e m : u n a u t h e n t i c a t e d   g r o u p   a n d   r e m o v e   t h e m   w h e r e   p o s s i b l e ,   a s   t h i s   g i v e s   a c c e s s   t o   a n y o n e   w h o   c a n   c o n t a c t   t h e   A P I   s e r v e r   a t   a   n e t w o r k   l e v e l . A v o i d   t h e   d e f a u l t   a u t o - m o u n t i n g   o f   s e r v i c e   a c c o u n t   t o k e n s   b y   s e t t i n g   a u t o m o u n t S e r v i c e A c c o u n t T o k e n :   f a l s e .   F o r   m o r e   d e t a i l s ,   s e e   u s i n g   d e f a u l t   s e r v i c e   a c c o u n t   t o k e n .   S e t t i n g   t h i s   v a l u e   f o r   a   P o d   w i l l   o v e r w r i t e   t h e   s e r v i c e   a c c o u n t   s e t t i n g ,   w o r k l o a d s   w h i c h   r e q u i r e   s e r v i c e   a c c o u n t   t o k e n s   c a n   s t i l l   m o u n t   t h e m .


Question: What is Periodic review?

Answer: I t   i s   v i t a l   t o   p e r i o d i c a l l y   r e v i e w   t h e   K u b e r n e t e s   R B A C   s e t t i n g s   f o r   r e d u n d a n t   e n t r i e s   a n d   p o s s i b l e   p r i v i l e g e   e s c a l a t i o n s .   I f   a n   a t t a c k e r   i s   a b l e   t o   c r e a t e   a   u s e r   a c c o u n t   w i t h   t h e   s a m e   n a m e   a s   a   d e l e t e d   u s e r ,   t h e y   c a n   a u t o m a t i c a l l y   i n h e r i t   a l l   t h e   r i g h t s   o f   t h e   d e l e t e d   u s e r ,   e s p e c i a l l y   t h e   r i g h t s   a s s i g n e d   t o   t h a t   u s e r .


Question: What is Kubernetes RBAC - privilege escalation risks?

Answer: W i t h i n   K u b e r n e t e s   R B A C   t h e r e   a r e   a   n u m b e r   o f   p r i v i l e g e s   w h i c h ,   i f   g r a n t e d ,   c a n   a l l o w   a   u s e r   o r   a   s e r v i c e   a c c o u n t   t o   e s c a l a t e   t h e i r   p r i v i l e g e s   i n   t h e   c l u s t e r   o r   a f f e c t   s y s t e m s   o u t s i d e   t h e   c l u s t e r .   T h i s   s e c t i o n   i s   i n t e n d e d   t o   p r o v i d e   v i s i b i l i t y   o f   t h e   a r e a s   w h e r e   c l u s t e r   o p e r a t o r s   s h o u l d   t a k e   c a r e ,   t o   e n s u r e   t h a t   t h e y   d o   n o t   i n a d v e r t e n t l y   a l l o w   f o r   m o r e   a c c e s s   t o   c l u s t e r s   t h a n   i n t e n d e d .


Question: What is Listing secrets?

Answer: I t   i s   g e n e r a l l y   c l e a r   t h a t   a l l o w i n g   g e t   a c c e s s   o n   S e c r e t s   w i l l   a l l o w   a   u s e r   t o   r e a d   t h e i r   c o n t e n t s .   I t   i s   a l s o   i m p o r t a n t   t o   n o t e   t h a t   l i s t   a n d   w a t c h   a c c e s s   a l s o   e f f e c t i v e l y   a l l o w   f o r   u s e r s   t o   r e v e a l   t h e   S e c r e t   c o n t e n t s .   F o r   e x a m p l e ,   w h e n   a   L i s t   r e s p o n s e   i s   r e t u r n e d   ( f o r   e x a m p l e ,   v i a   k u b e c t l   g e t   s e c r e t s   - A   - o   y a m l ) ,   t h e   r e s p o n s e   i n c l u d e s   t h e   c o n t e n t s   o f   a l l   S e c r e t s .


Question: What is Workload creation?

Answer: P e r m i s s i o n   t o   c r e a t e   w o r k l o a d s   ( e i t h e r   P o d s ,   o r   w o r k l o a d   r e s o u r c e s   t h a t   m a n a g e   P o d s )   i n   a   n a m e s p a c e   i m p l i c i t l y   g r a n t s   a c c e s s   t o   m a n y   o t h e r   r e s o u r c e s   i n   t h a t   n a m e s p a c e ,   s u c h   a s   S e c r e t s ,   C o n f i g M a p s ,   a n d   P e r s i s t e n t V o l u m e s   t h a t   c a n   b e   m o u n t e d   i n   P o d s .   A d d i t i o n a l l y ,   s i n c e   P o d s   c a n   r u n   a s   a n y   S e r v i c e A c c o u n t ,   g r a n t i n g   p e r m i s s i o n   t o   c r e a t e   w o r k l o a d s   a l s o   i m p l i c i t l y   g r a n t s   t h e   A P I   a c c e s s   l e v e l s   o f   a n y   s e r v i c e   a c c o u n t   i n   t h a t   n a m e s p a c e .   U s e r s   w h o   c a n   r u n   p r i v i l e g e d   P o d s   c a n   u s e   t h a t   a c c e s s   t o   g a i n   n o d e   a c c e s s   a n d   p o t e n t i a l l y   t o   f u r t h e r   e l e v a t e   t h e i r   p r i v i l e g e s .   W h e r e   y o u   d o   n o t   f u l l y   t r u s t   a   u s e r   o r   o t h e r   p r i n c i p a l   w i t h   t h e   a b i l i t y   t o   c r e a t e   s u i t a b l y   s e c u r e   a n d   i s o l a t e d   P o d s ,   y o u   s h o u l d   e n f o r c e   e i t h e r   t h e   B a s e l i n e   o r   R e s t r i c t e d   P o d   S e c u r i t y   S t a n d a r d .   Y o u   c a n   u s e   P o d   S e c u r i t y   a d m i s s i o n   o r   o t h e r   ( t h i r d   p a r t y )   m e c h a n i s m s   t o   i m p l e m e n t   t h a t   e n f o r c e m e n t .   F o r   t h e s e   r e a s o n s ,   n a m e s p a c e s   s h o u l d   b e   u s e d   t o   s e p a r a t e   r e s o u r c e s   r e q u i r i n g   d i f f e r e n t   l e v e l s   o f   t r u s t   o r   t e n a n c y .   I t   i s   s t i l l   c o n s i d e r e d   b e s t   p r a c t i


Question: What is Persistent volume creation?

Answer: I f   s o m e o n e   -   o r   s o m e   a p p l i c a t i o n   -   i s   a l l o w e d   t o   c r e a t e   a r b i t r a r y   P e r s i s t e n t V o l u m e s ,   t h a t   a c c e s s   i n c l u d e s   t h e   c r e a t i o n   o f   h o s t P a t h   v o l u m e s ,   w h i c h   t h e n   m e a n s   t h a t   a   P o d   w o u l d   g e t   a c c e s s   t o   t h e   u n d e r l y i n g   h o s t   f i l e s y s t e m ( s )   o n   t h e   a s s o c i a t e d   n o d e .   G r a n t i n g   t h a t   a b i l i t y   i s   a   s e c u r i t y   r i s k .   T h e r e   a r e   m a n y   w a y s   a   c o n t a i n e r   w i t h   u n r e s t r i c t e d   a c c e s s   t o   t h e   h o s t   f i l e s y s t e m   c a n   e s c a l a t e   p r i v i l e g e s ,   i n c l u d i n g   r e a d i n g   d a t a   f r o m   o t h e r   c o n t a i n e r s ,   a n d   a b u s i n g   t h e   c r e d e n t i a l s   o f   s y s t e m   s e r v i c e s ,   s u c h   a s   K u b e l e t .   Y o u   s h o u l d   o n l y   a l l o w   a c c e s s   t o   c r e a t e   P e r s i s t e n t V o l u m e   o b j e c t s   f o r :   U s e r s   ( c l u s t e r   o p e r a t o r s )   t h a t   n e e d   t h i s   a c c e s s   f o r   t h e i r   w o r k ,   a n d   w h o   y o u   t r u s t . T h e   K u b e r n e t e s   c o n t r o l   p l a n e   c o m p o n e n t s   w h i c h   c r e a t e s   P e r s i s t e n t V o l u m e s   b a s e d   o n   P e r s i s t e n t V o l u m e C l a i m s   t h a t   a r e   c o n f i g u r e d   f o r   a u t o m a t i c   p r o v i s i o n i n g .   T h i s   i s   u s u a l l y   s e t u p   b y   t h e   K u b e r n e t e s   p r o v i d e r   o r   b y   t h e   o p e r a t o r   w h e n   i n s t a l l i n g   a   C S I   d r i v e r .   W h e r e   a c c e s s   t o   p e r s i s t e n t   s t o r a g e   i s   r e q u i r e d   t r u s t e d   a d m i n i s t r a t o r s   s h o u l d   c r e a t e   P e r s i s t e n t V


Question: What is Access to proxy subresource of Nodes?

Answer: U s e r s   w i t h   a c c e s s   t o   t h e   p r o x y   s u b - r e s o u r c e   o f   n o d e   o b j e c t s   h a v e   r i g h t s   t o   t h e   K u b e l e t   A P I ,   w h i c h   a l l o w s   f o r   c o m m a n d   e x e c u t i o n   o n   e v e r y   p o d   o n   t h e   n o d e ( s )   t o   w h i c h   t h e y   h a v e   r i g h t s .   T h i s   a c c e s s   b y p a s s e s   a u d i t   l o g g i n g   a n d   a d m i s s i o n   c o n t r o l ,   s o   c a r e   s h o u l d   b e   t a k e n   b e f o r e   g r a n t i n g   r i g h t s   t o   t h i s   r e s o u r c e .


Question: What is Escalate verb?

Answer: G e n e r a l l y ,   t h e   R B A C   s y s t e m   p r e v e n t s   u s e r s   f r o m   c r e a t i n g   c l u s t e r r o l e s   w i t h   m o r e   r i g h t s   t h a n   t h e   u s e r   p o s s e s s e s .   T h e   e x c e p t i o n   t o   t h i s   i s   t h e   e s c a l a t e   v e r b .   A s   n o t e d   i n   t h e   R B A C   d o c u m e n t a t i o n ,   u s e r s   w i t h   t h i s   r i g h t   c a n   e f f e c t i v e l y   e s c a l a t e   t h e i r   p r i v i l e g e s .


Question: What is Bind verb?

Answer: S i m i l a r   t o   t h e   e s c a l a t e   v e r b ,   g r a n t i n g   u s e r s   t h i s   r i g h t   a l l o w s   f o r   t h e   b y p a s s   o f   K u b e r n e t e s   i n - b u i l t   p r o t e c t i o n s   a g a i n s t   p r i v i l e g e   e s c a l a t i o n ,   a l l o w i n g   u s e r s   t o   c r e a t e   b i n d i n g s   t o   r o l e s   w i t h   r i g h t s   t h e y   d o   n o t   a l r e a d y   h a v e .


Question: What is Impersonate verb?

Answer: T h i s   v e r b   a l l o w s   u s e r s   t o   i m p e r s o n a t e   a n d   g a i n   t h e   r i g h t s   o f   o t h e r   u s e r s   i n   t h e   c l u s t e r .   C a r e   s h o u l d   b e   t a k e n   w h e n   g r a n t i n g   i t ,   t o   e n s u r e   t h a t   e x c e s s i v e   p e r m i s s i o n s   c a n n o t   b e   g a i n e d   v i a   o n e   o f   t h e   i m p e r s o n a t e d   a c c o u n t s .


Question: What is CSRs and certificate issuing?

Answer: T h e   C S R   A P I   a l l o w s   f o r   u s e r s   w i t h   c r e a t e   r i g h t s   t o   C S R s   a n d   u p d a t e   r i g h t s   o n   c e r t i f i c a t e s i g n i n g r e q u e s t s / a p p r o v a l   w h e r e   t h e   s i g n e r   i s   k u b e r n e t e s . i o / k u b e - a p i s e r v e r - c l i e n t   t o   c r e a t e   n e w   c l i e n t   c e r t i f i c a t e s   w h i c h   a l l o w   u s e r s   t o   a u t h e n t i c a t e   t o   t h e   c l u s t e r .   T h o s e   c l i e n t   c e r t i f i c a t e s   c a n   h a v e   a r b i t r a r y   n a m e s   i n c l u d i n g   d u p l i c a t e s   o f   K u b e r n e t e s   s y s t e m   c o m p o n e n t s .   T h i s   w i l l   e f f e c t i v e l y   a l l o w   f o r   p r i v i l e g e   e s c a l a t i o n .


Question: What is Token request?

Answer: U s e r s   w i t h   c r e a t e   r i g h t s   o n   s e r v i c e a c c o u n t s / t o k e n   c a n   c r e a t e   T o k e n R e q u e s t s   t o   i s s u e   t o k e n s   f o r   e x i s t i n g   s e r v i c e   a c c o u n t s .


Question: What is Control admission webhooks?

Answer: U s e r s   w i t h   c o n t r o l   o v e r   v a l i d a t i n g w e b h o o k c o n f i g u r a t i o n s   o r   m u t a t i n g w e b h o o k c o n f i g u r a t i o n s   c a n   c o n t r o l   w e b h o o k s   t h a t   c a n   r e a d   a n y   o b j e c t   a d m i t t e d   t o   t h e   c l u s t e r ,   a n d   i n   t h e   c a s e   o f   m u t a t i n g   w e b h o o k s ,   a l s o   m u t a t e   a d m i t t e d   o b j e c t s .


Question: What is Namespace modification?

Answer: U s e r s   w h o   c a n   p e r f o r m   p a t c h   o p e r a t i o n s   o n   N a m e s p a c e   o b j e c t s   ( t h r o u g h   a   n a m e s p a c e d   R o l e B i n d i n g   t o   a   R o l e   w i t h   t h a t   a c c e s s )   c a n   m o d i f y   l a b e l s   o n   t h a t   n a m e s p a c e .   I n   c l u s t e r s   w h e r e   P o d   S e c u r i t y   A d m i s s i o n   i s   u s e d ,   t h i s   m a y   a l l o w   a   u s e r   t o   c o n f i g u r e   t h e   n a m e s p a c e   f o r   a   m o r e   p e r m i s s i v e   p o l i c y   t h a n   i n t e n d e d   b y   t h e   a d m i n i s t r a t o r s .   F o r   c l u s t e r s   w h e r e   N e t w o r k P o l i c y   i s   u s e d ,   u s e r s   m a y   b e   s e t   l a b e l s   t h a t   i n d i r e c t l y   a l l o w   a c c e s s   t o   s e r v i c e s   t h a t   a n   a d m i n i s t r a t o r   d i d   n o t   i n t e n d   t o   a l l o w .


Question: What is Object creation denial-of-service?

Answer: U s e r s   w h o   h a v e   r i g h t s   t o   c r e a t e   o b j e c t s   i n   a   c l u s t e r   m a y   b e   a b l e   t o   c r e a t e   s u f f i c i e n t   l a r g e   o b j e c t s   t o   c r e a t e   a   d e n i a l   o f   s e r v i c e   c o n d i t i o n   e i t h e r   b a s e d   o n   t h e   s i z e   o r   n u m b e r   o f   o b j e c t s ,   a s   d i s c u s s e d   i n   e t c d   u s e d   b y   K u b e r n e t e s   i s   v u l n e r a b l e   t o   O O M   a t t a c k .   T h i s   m a y   b e   s p e c i f i c a l l y   r e l e v a n t   i n   m u l t i - t e n a n t   c l u s t e r s   i f   s e m i - t r u s t e d   o r   u n t r u s t e d   u s e r s   a r e   a l l o w e d   l i m i t e d   a c c e s s   t o   a   s y s t e m .   O n e   o p t i o n   f o r   m i t i g a t i o n   o f   t h i s   i s s u e   w o u l d   b e   t o   u s e   r e s o u r c e   q u o t a s   t o   l i m i t   t h e   q u a n t i t y   o f   o b j e c t s   w h i c h   c a n   b e   c r e a t e d .


Question: What is What's next?

Answer: T o   l e a r n   m o r e   a b o u t   R B A C ,   s e e   t h e   R B A C   d o c u m e n t a t i o n .


Question: What is 8.10 - Good practices for Kubernetes Secrets?

Answer: I n   K u b e r n e t e s ,   a   S e c r e t   i s   a n   o b j e c t   t h a t   s t o r e s   s e n s i t i v e   i n f o r m a t i o n ,   s u c h   a s   p a s s w o r d s ,   O A u t h   t o k e n s ,   a n d   S S H   k e y s .   I n   K u b e r n e t e s ,   a   S e c r e t   i s   a n   o b j e c t   t h a t   s t o r e s   s e n s i t i v e   i n f o r m a t i o n ,   s u c h   a s   p a s s w o r d s ,   O A u t h   t o k e n s ,   a n d   S S H   k e y s .   S e c r e t s   g i v e   y o u   m o r e   c o n t r o l   o v e r   h o w   s e n s i t i v e   i n f o r m a t i o n   i s   u s e d   a n d   r e d u c e s   t h e   r i s k   o f   a c c i d e n t a l   e x p o s u r e .   S e c r e t   v a l u e s   a r e   e n c o d e d   a s   b a s e 6 4   s t r i n g s   a n d   a r e   s t o r e d   u n e n c r y p t e d   b y   d e f a u l t ,   b u t   c a n   b e   c o n f i g u r e d   t o   b e   e n c r y p t e d   a t   r e s t .   A   P o d   c a n   r e f e r e n c e   t h e   S e c r e t   i n   a   v a r i e t y   o f   w a y s ,   s u c h   a s   i n   a   v o l u m e   m o u n t   o r   a s   a n   e n v i r o n m e n t   v a r i a b l e .   S e c r e t s   a r e   d e s i g n e d   f o r   c o n f i d e n t i a l   d a t a   a n d   C o n f i g M a p s   a r e   d e s i g n e d   f o r   n o n - c o n f i d e n t i a l   d a t a .   T h e   f o l l o w i n g   g o o d   p r a c t i c e s   a r e   i n t e n d e d   f o r   b o t h   c l u s t e r   a d m i n i s t r a t o r s   a n d   a p p l i c a t i o n   d e v e l o p e r s .   U s e   t h e s e   g u i d e l i n e s   t o   i m p r o v e   t h e   s e c u r i t y   o f   y o u r   s e n s i t i v e   i n f o r m a t i o n   i n   S e c r e t   o b j e c t s ,   a s   w e l l   a s   t o   m o r e   e f f e c t i v e l y   m a n a g e   y o u r   S e c r e t s .


Question: What is Cluster administrators?

Answer: T h i s   s e c t i o n   p r o v i d e s   g o o d   p r a c t i c e s   t h a t   c l u s t e r   a d m i n i s t r a t o r s   c a n   u s e   t o   i m p r o v e   t h e   s e c u r i t y   o f   c o n f i d e n t i a l   i n f o r m a t i o n   i n   t h e   c l u s t e r .


Question: What is Configure encryption at rest?

Answer: B y   d e f a u l t ,   S e c r e t   o b j e c t s   a r e   s t o r e d   u n e n c r y p t e d   i n   e t c d .   Y o u   s h o u l d   c o n f i g u r e   e n c r y p t i o n   o f   y o u r   S e c r e t   d a t a   i n   e t c d .   F o r   i n s t r u c t i o n s ,   r e f e r   t o   E n c r y p t   S e c r e t   D a t a   a t   R e s t .


Question: What is Configure least-privilege access to Secrets?

Answer: W h e n   p l a n n i n g   y o u r   a c c e s s   c o n t r o l   m e c h a n i s m ,   s u c h   a s   K u b e r n e t e s   R o l e - b a s e d   A c c e s s   C o n t r o l   ( R B A C ) ,   c o n s i d e r   t h e   f o l l o w i n g   g u i d e l i n e s   f o r   a c c e s s   t o   S e c r e t   o b j e c t s .   Y o u   s h o u l d   a l s o   f o l l o w   t h e   o t h e r   g u i d e l i n e s   i n   R B A C   g o o d   p r a c t i c e s .   C o m p o n e n t s :   R e s t r i c t   w a t c h   o r   l i s t   a c c e s s   t o   o n l y   t h e   m o s t   p r i v i l e g e d ,   s y s t e m - l e v e l   c o m p o n e n t s .   O n l y   g r a n t   g e t   a c c e s s   f o r   S e c r e t s   i f   t h e   c o m p o n e n t ' s   n o r m a l   b e h a v i o r   r e q u i r e s   i t . H u m a n s :   R e s t r i c t   g e t ,   w a t c h ,   o r   l i s t   a c c e s s   t o   S e c r e t s .   O n l y   a l l o w   c l u s t e r   a d m i n i s t r a t o r s   t o   a c c e s s   e t c d .   T h i s   i n c l u d e s   r e a d - o n l y   a c c e s s .   F o r   m o r e   c o m p l e x   a c c e s s   c o n t r o l ,   s u c h   a s   r e s t r i c t i n g   a c c e s s   t o   S e c r e t s   w i t h   s p e c i f i c   a n n o t a t i o n s ,   c o n s i d e r   u s i n g   t h i r d - p a r t y   a u t h o r i z a t i o n   m e c h a n i s m s .


Question: What is Caution:?

Answer: A   u s e r   w h o   c a n   c r e a t e   a   P o d   t h a t   u s e s   a   S e c r e t   c a n   a l s o   s e e   t h e   v a l u e   o f   t h a t   S e c r e t .   E v e n   i f   c l u s t e r   p o l i c i e s   d o   n o t   a l l o w   a   u s e r   t o   r e a d   t h e   S e c r e t   d i r e c t l y ,   t h e   s a m e   u s e r   c o u l d   h a v e   a c c e s s   t o   r u n   a   P o d   t h a t   t h e n   e x p o s e s   t h e   S e c r e t .   Y o u   c a n   d e t e c t   o r   l i m i t   t h e   i m p a c t   c a u s e d   b y   S e c r e t   d a t a   b e i n g   e x p o s e d ,   e i t h e r   i n t e n t i o n a l l y   o r   u n i n t e n t i o n a l l y ,   b y   a   u s e r   w i t h   t h i s   a c c e s s .   S o m e   r e c o m m e n d a t i o n s   i n c l u d e :   U s e   s h o r t - l i v e d   S e c r e t s I m p l e m e n t   a u d i t   r u l e s   t h a t   a l e r t   o n   s p e c i f i c   e v e n t s ,   s u c h   a s   c o n c u r r e n t   r e a d i n g   o f   m u l t i p l e   S e c r e t s   b y   a   s i n g l e   u s e r


Question: What is Restrict Access for Secrets?

Answer: U s e   s e p a r a t e   n a m e s p a c e s   t o   i s o l a t e   a c c e s s   t o   m o u n t e d   s e c r e t s .


Question: What is Improve etcd management policies?

Answer: C o n s i d e r   w i p i n g   o r   s h r e d d i n g   t h e   d u r a b l e   s t o r a g e   u s e d   b y   e t c d   o n c e   i t   i s   n o   l o n g e r   i n   u s e .   I f   t h e r e   a r e   m u l t i p l e   e t c d   i n s t a n c e s ,   c o n f i g u r e   e n c r y p t e d   S S L / T L S   c o m m u n i c a t i o n   b e t w e e n   t h e   i n s t a n c e s   t o   p r o t e c t   t h e   S e c r e t   d a t a   i n   t r a n s i t .


Question: What is Configure access to external Secrets?

Answer: Y o u   c a n   u s e   t h i r d - p a r t y   S e c r e t s   s t o r e   p r o v i d e r s   t o   k e e p   y o u r   c o n f i d e n t i a l   d a t a   o u t s i d e   y o u r   c l u s t e r   a n d   t h e n   c o n f i g u r e   P o d s   t o   a c c e s s   t h a t   i n f o r m a t i o n .   T h e   K u b e r n e t e s   S e c r e t s   S t o r e   C S I   D r i v e r   i s   a   D a e m o n S e t   t h a t   l e t s   t h e   k u b e l e t   r e t r i e v e   S e c r e t s   f r o m   e x t e r n a l   s t o r e s ,   a n d   m o u n t   t h e   S e c r e t s   a s   a   v o l u m e   i n t o   s p e c i f i c   P o d s   t h a t   y o u   a u t h o r i z e   t o   a c c e s s   t h e   d a t a .   F o r   a   l i s t   o f   s u p p o r t e d   p r o v i d e r s ,   r e f e r   t o   P r o v i d e r s   f o r   t h e   S e c r e t   S t o r e   C S I   D r i v e r .


Question: What is Good practices for using swap memory?

Answer: F o r   b e s t   p r a c t i c e s   f o r   s e t t i n g   s w a p   m e m o r y   f o r   L i n u x   n o d e s ,   p l e a s e   r e f e r   t o   s w a p   m e m o r y   m a n a g e m e n t .


Question: What is Developers?

Answer: T h i s   s e c t i o n   p r o v i d e s   g o o d   p r a c t i c e s   f o r   d e v e l o p e r s   t o   u s e   t o   i m p r o v e   t h e   s e c u r i t y   o f   c o n f i d e n t i a l   d a t a   w h e n   b u i l d i n g   a n d   d e p l o y i n g   K u b e r n e t e s   r e s o u r c e s .


Question: What is Restrict Secret access to specific containers?

Answer: I f   y o u   a r e   d e f i n i n g   m u l t i p l e   c o n t a i n e r s   i n   a   P o d ,   a n d   o n l y   o n e   o f   t h o s e   c o n t a i n e r s   n e e d s   a c c e s s   t o   a   S e c r e t ,   d e f i n e   t h e   v o l u m e   m o u n t   o r   e n v i r o n m e n t   v a r i a b l e   c o n f i g u r a t i o n   s o   t h a t   t h e   o t h e r   c o n t a i n e r s   d o   n o t   h a v e   a c c e s s   t o   t h a t   S e c r e t .


Question: What is Protect Secret data after reading?

Answer: A p p l i c a t i o n s   s t i l l   n e e d   t o   p r o t e c t   t h e   v a l u e   o f   c o n f i d e n t i a l   i n f o r m a t i o n   a f t e r   r e a d i n g   i t   f r o m   a n   e n v i r o n m e n t   v a r i a b l e   o r   v o l u m e .   F o r   e x a m p l e ,   y o u r   a p p l i c a t i o n   m u s t   a v o i d   l o g g i n g   t h e   s e c r e t   d a t a   i n   t h e   c l e a r   o r   t r a n s m i t t i n g   i t   t o   a n   u n t r u s t e d   p a r t y .


Question: What is Avoid sharing Secret manifests?

Answer: I f   y o u   c o n f i g u r e   a   S e c r e t   t h r o u g h   a   m a n i f e s t ,   w i t h   t h e   s e c r e t   d a t a   e n c o d e d   a s   b a s e 6 4 ,   s h a r i n g   t h i s   f i l e   o r   c h e c k i n g   i t   i n   t o   a   s o u r c e   r e p o s i t o r y   m e a n s   t h e   s e c r e t   i s   a v a i l a b l e   t o   e v e r y o n e   w h o   c a n   r e a d   t h e   m a n i f e s t .


Question: What is 8.11 - Multi-tenancy?

Answer: T h i s   p a g e   p r o v i d e s   a n   o v e r v i e w   o f   a v a i l a b l e   c o n f i g u r a t i o n   o p t i o n s   a n d   b e s t   p r a c t i c e s   f o r   c l u s t e r   m u l t i - t e n a n c y .   S h a r i n g   c l u s t e r s   s a v e s   c o s t s   a n d   s i m p l i f i e s   a d m i n i s t r a t i o n .   H o w e v e r ,   s h a r i n g   c l u s t e r s   a l s o   p r e s e n t s   c h a l l e n g e s   s u c h   a s   s e c u r i t y ,   f a i r n e s s ,   a n d   m a n a g i n g   n o i s y   n e i g h b o r s .   C l u s t e r s   c a n   b e   s h a r e d   i n   m a n y   w a y s .   I n   s o m e   c a s e s ,   d i f f e r e n t   a p p l i c a t i o n s   m a y   r u n   i n   t h e   s a m e   c l u s t e r .   I n   o t h e r   c a s e s ,   m u l t i p l e   i n s t a n c e s   o f   t h e   s a m e   a p p l i c a t i o n   m a y   r u n   i n   t h e   s a m e   c l u s t e r ,   o n e   f o r   e a c h   e n d   u s e r .   A l l   t h e s e   t y p e s   o f   s h a r i n g   a r e   f r e q u e n t l y   d e s c r i b e d   u s i n g   t h e   u m b r e l l a   t e r m   m u l t i - t e n a n c y .   W h i l e   K u b e r n e t e s   d o e s   n o t   h a v e   f i r s t - c l a s s   c o n c e p t s   o f   e n d   u s e r s   o r   t e n a n t s ,   i t   p r o v i d e s   s e v e r a l   f e a t u r e s   t o   h e l p   m a n a g e   d i f f e r e n t   t e n a n c y   r e q u i r e m e n t s .   T h e s e   a r e   d i s c u s s e d   b e l o w .


Question: What is Use cases?

Answer: T h e   f i r s t   s t e p   t o   d e t e r m i n i n g   h o w   t o   s h a r e   y o u r   c l u s t e r   i s   u n d e r s t a n d i n g   y o u r   u s e   c a s e ,   s o   y o u   c a n   e v a l u a t e   t h e   p a t t e r n s   a n d   t o o l s   a v a i l a b l e .   I n   g e n e r a l ,   m u l t i - t e n a n c y   i n   K u b e r n e t e s   c l u s t e r s   f a l l s   i n t o   t w o   b r o a d   c a t e g o r i e s ,   t h o u g h   m a n y   v a r i a t i o n s   a n d   h y b r i d s   a r e   a l s o   p o s s i b l e .


Question: What is Multiple teams?

Answer: A   c o m m o n   f o r m   o f   m u l t i - t e n a n c y   i s   t o   s h a r e   a   c l u s t e r   b e t w e e n   m u l t i p l e   t e a m s   w i t h i n   a n   o r g a n i z a t i o n ,   e a c h   o f   w h o m   m a y   o p e r a t e   o n e   o r   m o r e   w o r k l o a d s .   T h e s e   w o r k l o a d s   f r e q u e n t l y   n e e d   t o   c o m m u n i c a t e   w i t h   e a c h   o t h e r ,   a n d   w i t h   o t h e r   w o r k l o a d s   l o c a t e d   o n   t h e   s a m e   o r   d i f f e r e n t   c l u s t e r s .   I n   t h i s   s c e n a r i o ,   m e m b e r s   o f   t h e   t e a m s   o f t e n   h a v e   d i r e c t   a c c e s s   t o   K u b e r n e t e s   r e s o u r c e s   v i a   t o o l s   s u c h   a s   k u b e c t l ,   o r   i n d i r e c t   a c c e s s   t h r o u g h   G i t O p s   c o n t r o l l e r s   o r   o t h e r   t y p e s   o f   r e l e a s e   a u t o m a t i o n   t o o l s .   T h e r e   i s   o f t e n   s o m e   l e v e l   o f   t r u s t   b e t w e e n   m e m b e r s   o f   d i f f e r e n t   t e a m s ,   b u t   K u b e r n e t e s   p o l i c i e s   s u c h   a s   R B A C ,   q u o t a s ,   a n d   n e t w o r k   p o l i c i e s   a r e   e s s e n t i a l   t o   s a f e l y   a n d   f a i r l y   s h a r e   c l u s t e r s .


Question: What is Multiple customers?

Answer: T h e   o t h e r   m a j o r   f o r m   o f   m u l t i - t e n a n c y   f r e q u e n t l y   i n v o l v e s   a   S o f t w a r e - a s - a - S e r v i c e   ( S a a S )   v e n d o r   r u n n i n g   m u l t i p l e   i n s t a n c e s   o f   a   w o r k l o a d   f o r   c u s t o m e r s .   T h i s   b u s i n e s s   m o d e l   i s   s o   s t r o n g l y   a s s o c i a t e d   w i t h   t h i s   d e p l o y m e n t   s t y l e   t h a t   m a n y   p e o p l e   c a l l   i t   " S a a S   t e n a n c y . "   H o w e v e r ,   a   b e t t e r   t e r m   m i g h t   b e   " m u l t i - c u s t o m e r   t e n a n c y , "   s i n c e   S a a S   v e n d o r s   m a y   a l s o   u s e   o t h e r   d e p l o y m e n t   m o d e l s ,   a n d   t h i s   d e p l o y m e n t   m o d e l   c a n   a l s o   b e   u s e d   o u t s i d e   o f   S a a S .   I n   t h i s   s c e n a r i o ,   t h e   c u s t o m e r s   d o   n o t   h a v e   a c c e s s   t o   t h e   c l u s t e r ;   K u b e r n e t e s   i s   i n v i s i b l e   f r o m   t h e i r   p e r s p e c t i v e   a n d   i s   o n l y   u s e d   b y   t h e   v e n d o r   t o   m a n a g e   t h e   w o r k l o a d s .   C o s t   o p t i m i z a t i o n   i s   f r e q u e n t l y   a   c r i t i c a l   c o n c e r n ,   a n d   K u b e r n e t e s   p o l i c i e s   a r e   u s e d   t o   e n s u r e   t h a t   t h e   w o r k l o a d s   a r e   s t r o n g l y   i s o l a t e d   f r o m   e a c h   o t h e r .