Kubernetes Kyverno bypass

рдЗрд╕ рдкреГрд╖реНрда рдХреЗ рдореВрд▓ рд▓реЗрдЦрдХ рд╣реИрдВ Guillaume

рдиреАрддрд┐рдпреЛрдВ рдХреА рдЧрд▓рдд рдХреЙрдиреНрдлрд╝рд┐рдЧрд░реЗрд╢рди рдХрд╛ рджреБрд░реБрдкрдпреЛрдЧ

рдирд┐рдпрдореЛрдВ рдХреА рдЧрдгрдирд╛ рдХрд░реЗрдВ

рдПрдХ рдЕрд╡рд▓реЛрдХрди рд╣реЛрдирд╛ рдорджрджрдЧрд╛рд░ рд╣реЛ рд╕рдХрддрд╛ рд╣реИ рдпрд╣ рдЬрд╛рдирдиреЗ рдХреЗ рд▓рд┐рдП рдХрд┐ рдХреМрди рд╕реЗ рдирд┐рдпрдо рд╕рдХреНрд░рд┐рдп рд╣реИрдВ, рдХрд┐рд╕ рдореЛрдб рдореЗрдВ рд╣реИрдВ рдФрд░ рдХреМрди рдЗрд╕реЗ рдмрд╛рдпрдкрд╛рд╕ рдХрд░ рд╕рдХрддрд╛ рд╣реИ

$ kubectl get clusterpolicies
$ kubectl get policies

Enumerate Excluded

рдкреНрд░рддреНрдпреЗрдХ ClusterPolicy рдФрд░ Policy рдХреЗ рд▓рд┐рдП, рдЖрдк рдмрд╛рд╣рд░ рдХрд┐рдП рдЧрдП рд╕рдВрд╕реНрдерд╛рдУрдВ рдХреА рдПрдХ рд╕реВрдЪреА рдирд┐рд░реНрджрд┐рд╖реНрдЯ рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ, рдЬрд┐рд╕рдореЗрдВ рд╢рд╛рдорд┐рд▓ рд╣реИрдВ:

  • рд╕рдореВрд╣: excludedGroups

  • рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛: excludedUsers

  • рд╕реЗрд╡рд╛ рдЦрд╛рддреЗ (SA): excludedServiceAccounts

  • рднреВрдорд┐рдХрд╛рдПрдБ: excludedRoles

  • рдХреНрд▓рд╕реНрдЯрд░ рднреВрдорд┐рдХрд╛рдПрдБ: excludedClusterRoles

рдпреЗ рдмрд╛рд╣рд░ рдХреА рдЧрдИ рд╕рдВрд╕реНрдерд╛рдПрдБ рдиреАрддрд┐ рдХреА рдЖрд╡рд╢реНрдпрдХрддрд╛рдУрдВ рд╕реЗ рдЫреВрдЯ рдЬрд╛рдПрдБрдЧреА, рдФрд░ Kyverno рдЙрдирдХреЗ рд▓рд┐рдП рдиреАрддрд┐ рдХреЛ рд▓рд╛рдЧреВ рдирд╣реАрдВ рдХрд░реЗрдЧрд╛ред

Example

рдЖрдЗрдП рдПрдХ clusterpolicy рдЙрджрд╛рд╣рд░рдг рдореЗрдВ рдЧрд╣рд░рд╛рдИ рд╕реЗ рдЬрд╛рдПрдБ :

$ kubectl get clusterpolicies MYPOLICY -o yaml

рдЕрд╡рд░реНрдЬрд┐рдд рд╕рдВрд╕реНрдерд╛рдУрдВ рдХреА рддрд▓рд╛рд╢ рдХрд░реЗрдВ :

exclude:
any:
- clusterRoles:
- cluster-admin
- subjects:
- kind: User
name: system:serviceaccount:DUMMYNAMESPACE:admin
- kind: User
name: system:serviceaccount:TEST:thisisatest
- kind: User
name: system:serviceaccount:AHAH:*

рдХреНрд▓рд╕реНрдЯрд░ рдХреЗ рднреАрддрд░, рдХрдИ рдЕрддрд┐рд░рд┐рдХреНрдд рдШрдЯрдХ, рдСрдкрд░реЗрдЯрд░ рдФрд░ рдЕрдиреБрдкреНрд░рдпреЛрдЧреЛрдВ рдХреЛ рдХреНрд▓рд╕реНрдЯрд░ рдиреАрддрд┐ рд╕реЗ рдмрд╛рд╣рд░ рд░рдЦрдиреЗ рдХреА рдЖрд╡рд╢реНрдпрдХрддрд╛ рд╣реЛ рд╕рдХрддреА рд╣реИред рд╣рд╛рд▓рд╛рдБрдХрд┐, рдЗрд╕рдХрд╛ рд▓рд╛рдн рдЙрдард╛рдпрд╛ рдЬрд╛ рд╕рдХрддрд╛ рд╣реИ рдпрджрд┐ рд╡рд┐рд╢реЗрд╖рд╛рдзрд┐рдХрд╛рд░ рдкреНрд░рд╛рдкреНрдд рд╕рдВрд╕реНрдерд╛рдУрдВ рдХреЛ рд▓рдХреНрд╖рд┐рдд рдХрд┐рдпрд╛ рдЬрд╛рдПред рдХреБрдЫ рдорд╛рдорд▓реЛрдВ рдореЗрдВ, рдпрд╣ рдкреНрд░рддреАрдд рд╣реЛ рд╕рдХрддрд╛ рд╣реИ рдХрд┐ рдПрдХ рдирд╛рдорд╕реНрдерд╛рди рдореМрдЬреВрдж рдирд╣реАрдВ рд╣реИ рдпрд╛ рдЖрдкрдХреЗ рдкрд╛рд╕ рдПрдХ рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рдХрд╛ рдЕрдиреБрдХрд░рдг рдХрд░рдиреЗ рдХреА рдЕрдиреБрдорддрд┐ рдирд╣реАрдВ рд╣реИ, рдЬреЛ рдЧрд▓рдд рдХреЙрдиреНрдлрд╝рд┐рдЧрд░реЗрд╢рди рдХрд╛ рд╕рдВрдХреЗрдд рд╣реЛ рд╕рдХрддрд╛ рд╣реИред

ValidatingWebhookConfiguration рдХрд╛ рджреБрд░реБрдкрдпреЛрдЧ

рдиреАрддрд┐рдпреЛрдВ рдХреЛ рдмрд╛рдпрдкрд╛рд╕ рдХрд░рдиреЗ рдХрд╛ рдПрдХ рдФрд░ рддрд░реАрдХрд╛ ValidatingWebhookConfiguration рд╕рдВрд╕рд╛рдзрди рдкрд░ рдзреНрдпрд╛рди рдХреЗрдВрджреНрд░рд┐рдд рдХрд░рдирд╛ рд╣реИ :

Last updated