Kubernetes OPA Gatekeeper bypass

इस पृष्ठ के मूल लेखक हैं Guillaume

गलत कॉन्फ़िगरेशन का दुरुपयोग

नियमों की गणना करें

एक अवलोकन होना मददगार हो सकता है यह जानने के लिए कि कौन से नियम सक्रिय हैं, किस मोड में हैं और कौन इसे बायपास कर सकता है।

CLI के साथ

$ kubectl api-resources | grep gatekeeper
k8smandatoryannotations                                                             constraints.gatekeeper.sh/v1beta1                  false        K8sMandatoryAnnotations
k8smandatorylabels                                                                  constraints.gatekeeper.sh/v1beta1                  false        K8sMandatoryLabel
constrainttemplates                                                                 templates.gatekeeper.sh/v1                         false        ConstraintTemplate

ConstraintTemplate और Constraint का उपयोग Open Policy Agent (OPA) Gatekeeper में Kubernetes संसाधनों पर नियम लागू करने के लिए किया जा सकता है।

$ kubectl get constrainttemplates
$ kubectl get k8smandatorylabels

With the GUI

एक ग्राफ़िकल यूज़र इंटरफ़ेस गेटकीपर पॉलिसी मैनेजर के साथ OPA नियमों तक पहुँचने के लिए भी उपलब्ध हो सकता है। यह "कुबेरनेट्स क्लस्टर में OPA गेटकीपर नीतियों की स्थिति देखने के लिए एक सरल पढ़ने-के-लिए वेब UI है।"

खुले सेवा के लिए खोजें :

$ kubectl get services -A | grep gatekeeper
$ kubectl get services -A | grep 'gatekeeper-policy-manager-system'

Excluded namespaces

जैसा कि ऊपर की छवि में दर्शाया गया है, कुछ नियम सभी namespaces या उपयोगकर्ताओं पर सार्वभौमिक रूप से लागू नहीं हो सकते। इसके बजाय, वे एक व्हाइटलिस्ट आधार पर कार्य करते हैं। उदाहरण के लिए, liveness-probe प्रतिबंध को पांच निर्दिष्ट namespaces पर लागू करने से बाहर रखा गया है।

Bypass

Gatekeeper कॉन्फ़िगरेशन का व्यापक अवलोकन करते हुए, संभावित गलत कॉन्फ़िगरेशन की पहचान करना संभव है जिसे विशेषाधिकार प्राप्त करने के लिए शोषण किया जा सकता है। उन व्हाइटलिस्टेड या बाहर किए गए namespaces की तलाश करें जहाँ नियम लागू नहीं होता, और फिर वहाँ अपना हमला करें।

Abusing Roles/ClusterRoles in Kubernetes

Abusing ValidatingWebhookConfiguration

प्रतिबंधों को बायपास करने का एक और तरीका ValidatingWebhookConfiguration संसाधन पर ध्यान केंद्रित करना है :

Kubernetes ValidatingWebhookConfiguration

References

• https://github.com/open-policy-agent/gatekeeper

• https://github.com/sighupio/gatekeeper-policy-manager