Выбор ответа Senior Облако и контейнеры обновлено
Токен сервисного аккаунта в поде
Вопрос
Атакующий получил выполнение кода в поде. Почему важно, какие права у сервисного аккаунта этого пода?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Токен аккаунта по умолчанию смонтирован в под, и с ним идут в API Kubernetes. Токен лежит в /var/run/secrets/kubernetes.io/serviceaccount/.
Варианты ответа
- Сервисный аккаунт влияет на то, из каких реестров под может тянуть образы
- Токен аккаунта по умолчанию смонтирован в под, и с ним идут в API Kubernetesправильный ответ
- Токен в поде зашифрован ключом узла, и процессы контейнера не могут его прочитать
- API Kubernetes недоступен из подов, токен используется только самим kubelet
Разбор
Токен лежит в /var/run/secrets/kubernetes.io/serviceaccount/. Если у аккаунта права на секреты или создание подов, компрометация одного пода превращается в захват кластера. Меры: отключать автомонтирование токена, где он не нужен, давать минимальные права, ограничивать доступ к API сетевыми политиками.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.