Quiz: Cluster Hardening

RBAC 은 기본적으로 권한 상승을 막는다. 이 보호를 명시적으로 우회할 수 있는 동사 조합은?

• escalate, bind, impersonate
• get, list, watch
• create, update, patch
• delete, deletecollection, proxy

파드 스펙에 automountServiceAccountToken: false 를 넣고, 그 파드가 쓰는 ServiceAccount 에는 true 가 설정돼 있다. 결과는?

• 토큰이 마운트된다 (ServiceAccount 설정이 우선)
• 토큰이 마운트되지 않는다 (파드 설정이 우선)
• API 서버가 충돌로 파드 생성을 거부한다
• kubelet 이 두 위치에 모두 마운트한다

system:masters 그룹이 특별히 위험한 이유는?

• kube-system 네임스페이스만 접근할 수 있어 감사가 어렵다
• RBAC 인가 검사를 통째로 우회한다
• 감사 로그에 기록되지 않는다
• 토큰 만료가 24시간으로 고정된다

특정 ServiceAccount 가 실제로 무엇을 할 수 있는지 API 서버에 직접 물어보는 방법은?

• kubectl describe serviceaccount 로 바인딩 목록을 본다
• kubectl get rolebinding -A 로 전수 조사한다
• 감사 로그에서 해당 SA 의 과거 요청을 검색한다
• kubectl auth can-i <동사> <리소스> --as=system:serviceaccount::<이름>

수동으로 만든 kubernetes.io/service-account-token 타입 Secret 이 TokenRequest 방식보다 위험한 가장 큰 이유는?

• 만료가 없어 한 번 유출되면 영구히 유효하다
• base64 로만 인코딩되어 평문이나 다름없다
• 네임스페이스를 넘어 사용할 수 있다
• kubelet 이 자동으로 로테이션하지 않는다

ValidatingWebhook 이 failurePolicy: Fail 로 등록돼 있고 웹훅 서버 파드가 전부 죽었다. 무슨 일이 일어나는가?

• 웹훅 규칙에 매칭되는 리소스의 생성·수정이 전부 거부된다
• 정책 검증만 건너뛰고 요청은 정상 처리된다
• API 서버가 자동으로 failurePolicy 를 Ignore 로 낮춘다
• 해당 네임스페이스만 읽기 전용으로 전환된다