Kubernetes SecurityContext(s)

Soutenez HackTricks et bénéficiez d'avantages !

• Si vous souhaitez voir votre entreprise annoncée dans HackTricks ou si vous souhaitez accéder à la dernière version de PEASS ou télécharger HackTricks en PDF, consultez les PLANS D'ABONNEMENT !

• Obtenez le swag officiel PEASS & HackTricks

• Découvrez The PEASS Family, notre collection d'NFTs exclusifs

• Rejoignez le 💬 groupe Discord ou le groupe Telegram ou suivez moi sur Twitter 🐦 @carlospolopm.

PodSecurityContext

Lorsque vous spécifiez le contexte de sécurité d'un Pod, vous pouvez utiliser plusieurs attributs. Du point de vue de la sécurité défensive, vous devriez considérer :

• Avoir runASNonRoot comme True

• Configurer runAsUser

• Si possible, considérez limiter les permissions en indiquant seLinuxOptions et seccompProfile

• Ne donnez PAS d'accès de groupe de privilèges via runAsGroup et supplementaryGroups

fsGroup integer

Un groupe supplémentaire spécial qui s'applique à tous les conteneurs dans un pod. Certains types de volumes permettent à Kubelet de modifier la propriété de ce volume pour qu'il soit détenu par le pod : 1. Le GID propriétaire sera FSGroup 2. Le bit setgid est défini (les nouveaux fichiers créés dans le volume seront détenus par FSGroup) 3. Les bits de permission sont OR'd avec rw-rw---- Si non défini, Kubelet ne modifiera pas la propriété et les autorisations d'aucun volume

fsGroupChangePolicy <em