OpenShift - Missing Service Account

누락된 서비스 계정

클러스터가 미리 구성된 템플릿으로 배포되어 Roles, RoleBindings 및 심지어 SCC를 아직 생성되지 않은 서비스 계정에 자동으로 설정하는 경우가 있습니다. 이는 해당 계정을 생성할 수 있는 경우 권한 상승으로 이어질 수 있습니다. 이 경우에는 새로 생성된 SA의 토큰과 연결된 역할 또는 SCC를 얻을 수 있습니다. 동일한 경우가 발생하는 것은 누락된 SA가 누락된 프로젝트의 일부인 경우입니다. 이 경우에는 프로젝트를 생성하고 그런 다음 SA를 생성할 수 있다면 해당 Roles 및 SCC를 얻을 수 있습니다.

이전 그래프에서는 Roles Bindings 또는 SCC에 나타나지만 아직 클러스터에 생성되지 않은 여러 프로젝트가 있는 AbsentProject가 여러 개 있습니다. 마찬가지로 AbsentServiceAccount도 있습니다.

프로젝트와 누락된 SA를 생성할 수 있다면, SA는 AbsentServiceAccount를 대상으로 한 Role 또는 SCC에서 상속됩니다. 이는 권한 상승으로 이어질 수 있습니다.

다음 예제는 node-exporter SCC를 부여받는 누락된 SA를 보여줍니다:

도구

다음 도구는 이 문제를 열거하고 일반적으로 OpenShift 클러스터를 그래프로 나타내는 데 사용할 수 있습니다:

https://github.com/maxDcb/OpenShiftGraphergithub.com