Mengukuhkan RBAC dan Keselamatan Pod Kubernetes: Panduan Praktikal untuk SRE

Senario

Pasukan SRE mendapati akaun pembangun mempunyai keizinan kluster-admin penuh, membenarkan pod exec dan akses rahsia tanpa had, menimbulkan risiko keselamatan besar.

Gejala

• Log audit menunjukkan panggilan kubectl exec atau kubectl get secrets yang tidak dijangka daripada pengguna bukan admin.
• Pembangun melaporkan dapat mengakses ruang nama di luar skop mereka.
• Imbasan keselamatan menandakan ClusterRoleBinding berlebihan.

Diagnosis

1. Jalankan kubectl auth can-i --list --as=developer untuk menyenaraikan keupayaan pengguna tertentu.
2. Laksanakan kubectl get clusterrolebindings -o wide untuk mengenal pasti subjek yang terikat pada peranan berkeizinan tinggi seperti cluster-admin.
3. Gunakan kubectl describe clusterrolebinding <name> untuk memeriksa ikatan.
4. Periksa Dasar Keselamatan Pod: kubectl get psp — tiada output bermaksud PSP tidak dikuatkuasakan.

Contoh Perintah

# Periksa keizinan pengguna
kubectl auth can-i --list --as=developer

# Guna PodSecurityPolicy terhad
kubectl apply -f restricted-psp.yaml

# Cipta ClusterRole hanya baca
kubectl create clusterrole readonly --verb=get,list,watch --resource=pods,services,endpoints

# Ikat kepada kumpulan pembangun
kubectl create clusterrolebinding dev-readonly --clusterrole=readonly --group=developers

# Rollback: padam dasar
kubectl delete -f restricted-psp.yaml

Kawalan Risiko

• Laksanakan prinsip hak minimum: cipta ServiceAccount dan RoleBinding khusus untuk setiap pasukan atau aplikasi.
• Aktifkan Pod Security Admission (PSA) atau OPA Gatekeeper untuk penguatkuasaan dasar.
• Aktifkan log audit kluster dan pusatkan pemantauan (contohnya, ELK atau integrasi SIEM OpsGlobal).
• Gunakan NetworkPolicy untuk menghadkan komunikasi antara pod.

Pelan Rollback

1. Simpan ClusterRoleBinding sedia ada: kubectl get clusterrolebinding dev-admin -o yaml > backup.yaml
2. Padam dasar terhad: kubectl delete -f restricted-psp.yaml
3. Pulihkan ikatan: kubectl apply -f backup.yaml

Pengesahan

• Sebagai pembangun, jalankan kubectl auth can-i delete pods — harus kembali 'no' jika terhad dengan betul.
• Periksa log audit untuk sebarang operasi yang dinafikan.
• Cuba cipta pod istimewa — harus ditolak.

Bila Hantar Tiket OpsGlobal

• Pasukan dalaman anda kurang kepakaran keselamatan Kubernetes.
• Anda memerlukan pemantauan 24/7 dan respons insiden pantas.
• Pelanggaran aktif atau konfigurasi salah memerlukan campur tangan pakar segera.
• Audit keselamatan berkala dan pematuhan (cth., SOC2, PCI-DSS) memerlukan pengesahan luaran.