真攻击确认

运行程序被拒绝访问应用程序的秘密，但允许 Pod 创建。如果我创建一个在受限应用程序中使用 Secret 卷的非根 Pod 会怎样？

• 如果 Pod 满足 Restricted 条件，则可以读取同一命名空间中的 Secret 卷。
• Restricted 禁止所有 Secret 引用，因此 Pod 创建始终会被拒绝。
• 允许 Pod 创建，但在没有运行者获取机密权限的情况下，卷始终会被拒绝。
• 当静态加密开启时，只有 Secret 的密文文件会挂载到 Pod 中。

管理员创建了一个 serviceAccountName=runner 的 Pod。仅凭这个结果还不能证明什么？

• Pod 选择的服务帐户名为 runner。
• 运行者可以创建一个 Pod 作为实际创建请求主体
• Pod 对象已注册到 API 服务器上
• Pod 规范包括服务帐户名称。

Pod 的 automountServiceAccountToken 设置为 false。具体效果如何？

• 拒绝命名空间中的所有 Secret API 查询
• 拒绝 Pod 中指定的所有 Secret 卷引用
• 关闭 Pod 服务帐户令牌的自动挂载
• 删除所选服务帐户的 RBAC RoleBinding。

打开静态加密并重新启动 API 服务器后，它报告所有现有 Secret 均已加密。缺少什么？

• 为读取现有机密的所有 SA 重新颁发令牌的步骤
• 增加所有 Secret 的 API base64 字符串长度的步骤
• 无论加密如何，重新创建所有命名空间的步骤
• 重新创建现有对象并验证存储结果和可读性的步骤

如果EncryptionConfiguration的第一个提供者是identity，下一个是aescbc，那么新的Secret是什么？

• 它被存储为第一个写入提供者的身份并且未加密。
• 双重加密是通过按顺序应用两个提供程序来实现的。
• 自动保存到aescbc，最后的写入提供程序。
• 如果包含身份，API 服务器始终拒绝启动

在解释对匿名请求的响应时，应该做出什么正确的决定？

• 如果没有凭据，所有路由都会无一例外地返回 401。
• 如果是403，则网络连接失败，请求没有到达服务器。
• 在允许匿名身份验证的路径中，您可以作为匿名主体进行身份验证。
• 默认 SA 令牌允许对任何命名空间进行秘密查找。