Kubernetes - OPA Gatekeeper bypass

इस पेज के मूल लेखक हैं गियोम

गलत विन्यास का दुरुपयोग

नियमों का जांच करें

एक अवलोकन होना मददगार हो सकता है ताकि पता चले कि कौन से नियम सक्रिय हैं, किस मोड पर हैं और कौन इसे बायपास कर सकता है।

CLI के साथ

$ kubectl api-resources | grep gatekeeper
k8smandatoryannotations                                                             constraints.gatekeeper.sh/v1beta1                  false        K8sMandatoryAnnotations
k8smandatorylabels                                                                  constraints.gatekeeper.sh/v1beta1                  false        K8sMandatoryLabel
constrainttemplates                                                                 templates.gatekeeper.sh/v1                         false        ConstraintTemplate

ConstraintTemplate और Constraint को Open Policy Agent (OPA) Gatekeeper में उपयोग किया जा सकता है ताकि Kubernetes संसाधनों पर नियम लागू किए जा सकें।

$ kubectl get constrainttemplates
$ kubectl get k8smandatorylabels

GUI के साथ

एक ग्राफिक उपयोगकर्ता इंटरफ़ेस भी उपलब्ध हो सकता है जिसका उपयोग करके Gatekeeper Policy Manager के साथ OPA नियमों तक पहुँचा जा सकता है। यह "एक सरल केवल पठनीय वेब यूआई है जिसका उपयोग करके कुबरनेटीज़ क्लस्टर में OPA Gatekeeper नीतियों की स्थिति देखने के लिए" है।

उजागर मार्ग के लिए खोजें:

$ kubectl get services -A | grep gatekeeper
$ kubectl get services -A | grep 'gatekeeper-policy-manager-system'

छूटी नेमस्पेस

जैसा कि ऊपर दी गई छवि में दिखाया गया है, कुछ नियम सभी नेमस्पेस या उपयोगकर्ताओं पर सार्वत्रिक रूप से लागू नहीं हो सकते। इनके बजाय, वे एक सफेद सूची के आधार पर काम करते हैं। उदाहरण के लिए, liveness-probe नियम को पांच निर्दिष्ट नेमस्पेस में लागू करने से छोड़ दिया गया है।

बायपास

गेटकीपर कॉन्फ़िगरेशन का व्यापक अवलोकन करके, संभावित गलत कॉन्फ़िगरेशन की पहचान करना संभव है जिसका उपयोग विशेषाधिकार प्राप्त करने के लिए किया जा सकता है। उस स्थान की तलाश करें जहां नियम लागू नहीं होता है, और फिर वहां अपना हमला चलाएं।

Abusing Roles/ClusterRoles in Kubernetes

संदर्भ

• https://github.com/open-policy-agent/gatekeeper

• https://github.com/sighupio/gatekeeper-policy-manager