Безопасность: пользователи, права и границы

Практика через терминал портала

1. Создай свою область и роль

   Открой терминал. Прочитай файл: он создаёт только kaas-security, служебную учётную запись learner, роль и привязку. Административные роли кластера не меняются.

   curl -fSLo /tmp/kaas-security.yaml https://test.igorhome.ru/static/learning/security-lab.yaml
   cat /tmp/kaas-security.yaml
   kubectl apply -f /tmp/kaas-security.yaml

   Что должно получиться. Учебные объекты созданы в отдельном namespace. У него restricted и небольшая квота.

   Если результат отличается

   При Forbidden не расширяй права общему пользователю. Запиши, какого разрешения не хватает.

2. Проверь разрешение от нужного имени

   --as просит сервер выполнить проверку от другой личности. Твоя исходная учётная запись должна иметь право impersonate. Это учебная проверка, не выдача бессрочного ключа.

   kubectl auth can-i list pods -n kaas-security --as=system:serviceaccount:kaas-security:learner
   kubectl -n kaas-security get pods --as=system:serviceaccount:kaas-security:learner

   Что должно получиться. Ответ yes и разрешённое чтение пустого списка Pod.

   Если результат отличается

   Ошибка impersonate говорит о правах проверяющего, а не о правах learner. Не выдавай learner cluster-admin.

3. Проверь запреты

   Отрицательный тест обязателен. Команды не выводят содержимое существующих секретов.

   kubectl auth can-i get secrets -n kaas-security --as=system:serviceaccount:kaas-security:learner
   kubectl auth can-i list pods -n default --as=system:serviceaccount:kaas-security:learner
   kubectl auth can-i create deployments -n kaas-security --as=system:serviceaccount:kaas-security:learner

   Что должно получиться. Три ответа no. Сохрани только результаты проверок.

   Если результат отличается

   Если получил yes, проверь другие привязки к этой учётной записи. Разрешения RBAC (Role-Based Access Control — управление доступом на основе ролей) складываются.

4. Проверь безопасный шаблон

   Попроси сервер проверить ограниченный Pod без его запуска.

   kubectl -n kaas-security apply --dry-run=server -f https://test.igorhome.ru/static/learning/security-safe-pod.yaml

   Что должно получиться. Объект принят в режиме server dry run, но работающий Pod не создан.

   Если результат отличается

   Если проверка безопасности отклонила объект, читай конкретное требование. Не отключай restricted.

5. Проверь запрет опасного запуска

   Второй шаблон намеренно содержит privileged. Только проверка без сохранения; фактический контейнер не запускается.

   kubectl -n kaas-security apply --dry-run=server -f https://test.igorhome.ru/static/learning/security-unsafe-pod.yaml

   Что должно получиться. Сервер отклоняет объект с сообщением о restricted. Это ожидаемый отрицательный результат.

   Если результат отличается

   Успех означает, что запрет не доказан. Проверь метки namespace, режим enforce и исключения admission.

6. Увидь действие квоты

   Квота этой области запрещает Service. Сначала прочитай её, затем проверь создание без сохранения.

   kubectl -n kaas-security describe resourcequota
   kubectl -n kaas-security create service clusterip quota-demo --tcp=80:8080 --dry-run=server

   Что должно получиться. Создание отклонено из-за services: 0. Это отдельный механизм, не отказ RBAC (Role-Based Access Control — управление доступом на основе ролей).

   Если результат отличается

   Если проверяешь от learner, отказ будет раньше на правах. Для опыта квоты используй свою исходную учётную запись.

7. Опиши границы и отзыв

   В заметках составь таблицу: пользователь портала, служебная учётная запись Kubernetes, облачная учётная запись. Для каждой запиши владельца, область прав, срок и процедуру отзыва. Реальные ключи не нужны.

   kubectl -n kaas-security get role,rolebinding,serviceaccount

   Что должно получиться. Есть конкретная модель угроз и план ротации. Ты отличаешь проверенный запрет от ещё не выполненного теста отзыва.

   Если результат отличается

   Не создавай токен без необходимости: проверка --as не требует публикации credentials.

8. Удали учебные объекты

   Удали только созданный namespace. Затем проверь, что его роль больше не разрешает чтение.

   kubectl delete namespace kaas-security --wait=true --timeout=120s
   kubectl auth can-i list pods -n kaas-security --as=system:serviceaccount:kaas-security:learner

   Что должно получиться. Учебные объекты удалены, ответ no. Это отзыв конкретной привязки, а не универсальный отзыв уже выданного внешнего доступа.

   Если результат отличается

   Если yes сохранился, найди дополнительную общую привязку; не считай очистку завершённой.

Открыть терминал ↗ · Скачать файлы лаборатории →

Файлы и подготовка к этой работе

• Подготовка отдельного стенда и правила работы ↗

Критерии готовности

Отмечай только то, что проверил на указанном стенде. Эти галочки сохраняются в браузере. Для готовых упражнений зачёт выдаёт отдельная серверная проверка практикума; остальные задания подтверждай журналом и доказательствами. Учебная модель не заменяет реальный облачный опыт.

Что сохранить в портфолио

• Журнал: исходное состояние → команда или действие → ожидаемый результат → фактическое наблюдение.
• Доказательства по критериям ниже: очищенный от секретов вывод, схема или ссылка на проверенный коммит.
• Отдельный список: что пока не запускалось, почему и какой стенд нужен для продолжения.

Проверь понимание

8 вопросов по этому модулю. Проходной результат — 7 из 8. После ответа — объяснения и ссылки на разделы, к которым стоит вернуться.