Kubernetes Role-Based Access Control(RBAC)

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Role-Based Access Control (RBAC)

Kubernetes'in API sunucusuna kullanım izinleri ayarlamaya yardımcı olan bir yetkilendirme modülü olan Role-Based Access Control (RBAC) vardır.

RBAC'nin izin modeli üç ayrı bölümden oluşmaktadır:

1. Role\ClusterRole ­– Gerçek izin. Bir dizi izni temsil eden kurallar içerir. Her kural, kaynaklar ve fiiller içerir. Fiil, kaynağa uygulanacak eylemdir.

2. Subject (Kullanıcı, Grup veya ServiceAccount) – İzinleri alacak nesne.

3. RoleBinding\ClusterRoleBinding – Role\ClusterRole ile konu arasındaki bağlantı.

“Roles” ile “ClusterRoles” arasındaki fark, rolün nerede uygulanacağıdır – bir “Role” yalnızca bir belirli namespace için erişim verirken, bir “ClusterRole” tüm namespace'lerde kullanılabilir. Ayrıca, ClusterRoles şunlara da erişim verebilir:

• küme kapsamlı kaynaklar (örneğin düğümler).

• kaynak dışı uç noktalar (örneğin /healthz).

• tüm namespace'lerde namespaced kaynaklar (örneğin Pod'lar).

Kubernetes 1.6'dan itibaren, RBAC politikaları varsayılan olarak etkin durumdadır. Ancak RBAC'yi etkinleştirmek için şunu kullanabilirsiniz:

kube-apiserver --authorization-mode=Example,RBAC --other-options --more-options

Şablonlar

Bir Rol veya ClusterRole şablonunda rolün adını, namespace'i (rollerde) ve ardından rolün apiGroups, resources ve verbs'lerini belirtmeniz gerekecek:

• apiGroups, bu kuralın uygulandığı farklı API namespace'lerini içeren bir dizidir. Örneğin, bir Pod tanımı apiVersion: v1 kullanır. rbac.authorization.k8s.io veya [*] gibi değerler alabilir.

• resources, bu kuralın uygulandığı kaynakları tanımlayan bir dizidir. Tüm kaynakları bulmak için: kubectl api-resources --namespaced=true komutunu kullanabilirsiniz.

• verbs, izin verilen fiilleri içeren bir dizidir. Kubernetes'teki fiil, kaynağa uygulamanız gereken hareket türünü tanımlar. Örneğin, liste fiili koleksiyonlar için kullanılırken "get" tek bir kaynak için kullanılır.

Kurallar Fiilleri

(Bu bilgi belgelerden alınmıştır)

HTTP fiili	istek fiili
POST	oluştur
GET, HEAD	al (bireysel kaynaklar için), listele (koleksiyonlar için, tam nesne içeriği dahil), izle (bireysel bir kaynak veya kaynak koleksiyonunu izlemek için)
PUT	güncelle
PATCH	yaman
DELETE	sil (bireysel kaynaklar için), deletecollection (koleksiyonlar için)

Kubernetes bazen özel fiiller kullanarak ek izinler için yetkilendirmeyi kontrol eder. Örneğin:

• PodSecurityPolicy

• policy API grubundaki podsecuritypolicies kaynaklarında use fiili.

• RBAC

• rbac.authorization.k8s.io API grubundaki roles ve clusterroles kaynaklarında bind ve escalate fiilleri.

• Kimlik Doğrulama

• çekirdek API grubundaki users, groups ve serviceaccounts üzerinde impersonate fiili, ve authentication.k8s.io API grubundaki userextras.

Her kaynağın desteklediği tüm fiilleri bulmak için kubectl api-resources --sort-by name -o wide komutunu çalıştırabilirsiniz.

Örnekler

Role

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
namespace: defaultGreen
name: pod-and-pod-logs-reader
rules:
- apiGroups: [""]
resources: ["pods", "pods/log"]
verbs: ["get", "list", "watch"]

ClusterRole

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
# "namespace" omitted since ClusterRoles are not namespaced
name: secret-reader
rules:
- apiGroups: [""]
resources: ["secrets"]
verbs: ["get", "watch", "list"]

Örneğin, belirli bir kullanıcının çalıştırmasına izin vermek için bir ClusterRole kullanabilirsiniz:

kubectl get pods --all-namespaces

RoleBinding ve ClusterRoleBinding

Belgelerden: Bir rol bağlaması, bir rolde tanımlanan izinleri bir kullanıcıya veya kullanıcılar grubuna verir. Bir konu listesi (kullanıcılar, gruplar veya hizmet hesapları) ve verilen role bir referans tutar. Bir RoleBinding, belirli bir namespace içinde izinler verirken, bir ClusterRoleBinding bu erişimi küme genelinde verir.

piVersion: rbac.authorization.k8s.io/v1
# This role binding allows "jane" to read pods in the "default" namespace.
# You need to already have a Role named "pod-reader" in that namespace.
kind: RoleBinding
metadata:
name: read-pods
namespace: default
subjects:
# You can specify more than one "subject"
- kind: User
name: jane # "name" is case sensitive
apiGroup: rbac.authorization.k8s.io
roleRef:
# "roleRef" specifies the binding to a Role / ClusterRole
kind: Role #this must be Role or ClusterRole
name: pod-reader # this must match the name of the Role or ClusterRole you wish to bind to
apiGroup: rbac.authorization.k8s.io

ClusterRoleBinding

apiVersion: rbac.authorization.k8s.io/v1
# This cluster role binding allows anyone in the "manager" group to read secrets in any namespace.
kind: ClusterRoleBinding
metadata:
name: read-secrets-global
subjects:
- kind: Group
name: manager # Name is case sensitive
apiGroup: rbac.authorization.k8s.io
roleRef:
kind: ClusterRole
name: secret-reader
apiGroup: rbac.authorization.k8s.io

İzinler toplamsaldır bu nedenle eğer “listele” ve “sil” izinlerine sahip bir clusterRole'unuz varsa, bunu “al” iznine sahip bir Role ile ekleyebilirsiniz. Bu yüzden her zaman rollerinizi ve izinlerinizi test edin ve İZİN VERİLENİ belirtin, çünkü varsayılan olarak her şey REDDEDİLİR.

RBAC'ı Sayma

# Get current privileges
kubectl auth can-i --list
# use `--as=system:serviceaccount:<namespace>:<sa_name>` to impersonate a service account

# List Cluster Roles
kubectl get clusterroles
kubectl describe clusterroles

# List Cluster Roles Bindings
kubectl get clusterrolebindings
kubectl describe clusterrolebindings

# List Roles
kubectl get roles
kubectl describe roles

# List Roles Bindings
kubectl get rolebindings
kubectl describe rolebindings

Abuse Role/ClusterRoles for Privilege Escalation

Abusing Roles/ClusterRoles in Kubernetes

AWS Hacking'i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking'i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks'i Destekleyin

• abonelik planlarını kontrol edin!

• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter'da 🐦 @hacktricks_live'i takip edin.**

• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.