Выбор ответа Middle RBAC и Helm обновлено
Токен ServiceAccount в поде
Вопрос
Приложению не нужен доступ к API Kubernetes. Что стоит сделать с токеном ServiceAccount?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Отключить монтирование: automountServiceAccountToken: false. Токен в поде это учётные данные, которые атакующий использует после взлома приложения: даже у default могут оказаться права, выданные кем-то позже.
Варианты ответа
- Ничего: без прав RBAC токен бесполезен для атакующего
- Удалить ServiceAccount
defaultиз namespace приложения - Выдать роль
view, чтобы токен работал предсказуемо - Отключить монтирование:
automountServiceAccountToken: falseправильный ответ
Разбор
Токен в поде это учётные данные, которые атакующий использует после взлома приложения: даже у default могут оказаться права, выданные кем-то позже. Если API не нужен, токен не монтируют. Удалять default бессмысленно, контроллер создаст его заново, а лишние права противоположны цели.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.