Kubernetes Role-Based Access Control(RBAC)

सीखें और प्रैक्टिस करें AWS हैकिंग:HackTricks प्रशिक्षण AWS रेड टीम एक्सपर्ट (ARTE) सीखें और प्रैक्टिस करें GCP हैकिंग: HackTricks प्रशिक्षण GCP रेड टीम एक्सपर्ट (GRTE)

हैकट्रिक्स का समर्थन करें

• सदस्यता योजनाएं की जाँच करें!

• शामिल हों 💬 डिस्कॉर्ड समूह या टेलीग्राम समूह या हमें ट्विटर 🐦 @hacktricks_live** पर फॉलो करें।

• हैकिंग ट्रिक्स साझा करें, PRs सबमिट करके HackTricks और HackTricks Cloud github रेपो में।

Role-Based Access Control (RBAC)

कुबरनेटीज़ में एक अधिकार मॉड्यूल है जिसका नाम है Role-Based Access Control (RBAC) जो API सर्वर को उपयोग अनुमतियों को सेट करने में मदद करता है।

RBAC की अनुमति मॉडल तीन व्यक्तिगत हिस्सों से बना है:

1. Role\ClusterRole ­– वास्तविक अनुमति। इसमें नियम होते हैं जो एक सेट की अनुमतियों को प्रतिनिधित्व करते हैं। प्रत्येक नियम में संसाधन और क्रियाएँ होती हैं। क्रिया वह कार्रवाई है जो संसाधन पर लागू होगी।

2. विषय (उपयोगकर्ता, समूह या सेवा खाता) – वह वस्तु जो अनुमतियाँ प्राप्त करेगी।

3. RoleBinding\ClusterRoleBinding – Role\ClusterRole और विषय के बीच कनेक्शन।

“Roles” और “ClusterRoles” के बीच अंतर केवल यह है कि भूमिका कहाँ लागू की जाएगी – “Role” केवल एक निश्चित नेमस्पेस को पहुंच देगी, जबकि “ClusterRole” क्लस्टर में सभी नेमस्पेस में उपयोग किया जा सकता है। इसके अतिरिक्त, ClusterRoles इसके अलावा उपयोग कर सकते हैं:

• क्लस्टर-स्कोप्ड संसाधन (जैसे नोड्स)।

• गैर-संसाधन एंडपॉइंट्स (जैसे /healthz)।

• नेमस्पेस्ड संसाधन (जैसे पॉड्स), सभी नेमस्पेस के अधिकार में।

कुबरनेटीज़ 1.6 के बाद, RBAC नीतियाँ डिफ़ॉल्ट रूप से सक्षम हैं। लेकिन RBAC को सक्षम करने के लिए आप कुछ इस प्रकार से उपयोग कर सकते हैं:

kube-apiserver --authorization-mode=Example,RBAC --other-options --more-options

नमूने

Role या ClusterRole के टेम्पलेट में आपको रोल का नाम, नेमस्पेस (रोल में) और फिर रोल के apiGroups, संसाधन और क्रियाएँ निर्दिष्ट करने की आवश्यकता होगी:

• apiGroups एक ऐरे है जो इस नियम को लागू करने वाले विभिन्न API नेमस्पेस को शामिल करता है। उदाहरण के लिए, एक पॉड परिभाषण apiVersion: v1 का उपयोग करता है। इसमें rbac.authorization.k8s.io या [*] जैसे मान हो सकते हैं।

• संसाधन एक ऐरे है जो यह नियम किस संसाधन पर लागू होता है को परिभाषित करता है। आप सभी संसाधनों को खोज सकते हैं: kubectl api-resources --namespaced=true

• क्रियाएँ एक ऐरे है जो अनुमत क्रियाएँ शामिल करता है। Kubernetes में क्रिया संसाधन को लागू करने के लिए आवश्यक कार्रवाई का प्रकार परिभाषित करती है। उदाहरण के लिए, सूची क्रिया संग्रहों के खिलाफ उपयोग किया जाता है जबकि "प्राप्त" एक एकल संसाधन के खिलाफ उपयोग किया जाता है।

नियम क्रियाएँ

(यह जानकारी दस्तावेज़ से ली गई थी)

HTTP क्रिया	अनुरोध क्रिया
POST	बनाएँ
GET, HEAD	प्राप्त करें (व्यक्तिगत संसाधनों के लिए), सूची (संग्रहों के लिए, पूरे वस्तु सामग्री के साथ), देखें (एक व्यक्तिगत संसाधन या संसाधनों के संग्रह के लिए देखने के लिए)
PUT	अपडेट करें
PATCH	पैच करें
DELETE	हटाएँ (व्यक्तिगत संसाधनों के लिए), हटाएँ (संग्रहों के लिए)

कभी-कभी Kubernetes विशेषज्ञ क्रियाओं का उपयोग करके अतिरिक्त अनुमतियों के लिए अधिकारीकरण की जांच करता है। उदाहरण के लिए:

• PodSecurityPolicy

• policy API समूह में podsecuritypolicies संसाधनों पर use क्रिया।

• RBAC

• rbac.authorization.k8s.io API समूह में roles और clusterroles संसाधनों पर bind और escalate क्रियाएँ।

• Authentication

• authentication.k8s.io API समूह में users, groups, और serviceaccounts पर impersonate क्रिया, और authentication.k8s.io API समूह में userextras।

आप प्रत्येक संसाधन का समर्थन करने वाली सभी क्रियाएँ खोज सकते हैं kubectl api-resources --sort-by name -o wide

उदाहरण

Role

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
namespace: defaultGreen
name: pod-and-pod-logs-reader
rules:
- apiGroups: [""]
resources: ["pods", "pods/log"]
verbs: ["get", "list", "watch"]

ClusterRole

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
# "namespace" omitted since ClusterRoles are not namespaced
name: secret-reader
rules:
- apiGroups: [""]
resources: ["secrets"]
verbs: ["get", "watch", "list"]

उदाहरण के लिए आप एक ClusterRole का उपयोग कर सकते हैं ताकि किसी विशेष उपयोगकर्ता को निम्नलिखित को चलाने की अनुमति दी जा सके:

kubectl get pods --all-namespaces

RoleBinding और ClusterRoleBinding

दस्तावेज़ से: एक role binding एक उपयोगकर्ता या उपयोगकर्ता समूह को एक भूमिका में परिभाषित अनुमतियाँ प्रदान करता है। इसमें विषयों (उपयोगकर्ता, समूह, या सेवा खाते) की सूची होती है, और दी जाने वाली भूमिका का संदर्भ होता है। एक RoleBinding एक विशिष्ट नेमस्पेस के भीतर अनुमतियाँ प्रदान करता है जबकि एक ClusterRoleBinding उस पहुंच को क्लस्टर-स्तर पर प्रदान करता है।

piVersion: rbac.authorization.k8s.io/v1
# This role binding allows "jane" to read pods in the "default" namespace.
# You need to already have a Role named "pod-reader" in that namespace.
kind: RoleBinding
metadata:
name: read-pods
namespace: default
subjects:
# You can specify more than one "subject"
- kind: User
name: jane # "name" is case sensitive
apiGroup: rbac.authorization.k8s.io
roleRef:
# "roleRef" specifies the binding to a Role / ClusterRole
kind: Role #this must be Role or ClusterRole
name: pod-reader # this must match the name of the Role or ClusterRole you wish to bind to
apiGroup: rbac.authorization.k8s.io

ClusterRoleBinding

apiVersion: rbac.authorization.k8s.io/v1
# This cluster role binding allows anyone in the "manager" group to read secrets in any namespace.
kind: ClusterRoleBinding
metadata:
name: read-secrets-global
subjects:
- kind: Group
name: manager # Name is case sensitive
apiGroup: rbac.authorization.k8s.io
roleRef:
kind: ClusterRole
name: secret-reader
apiGroup: rbac.authorization.k8s.io

अनुमतियाँ जोड़ने वाली होती हैं, इसलिए अगर आपके पास "सूची" और "हटाएं" रहस्य होने वाले clusterRole हैं तो आप इसे "प्राप्त" रहित Role के साथ जोड़ सकते हैं। इसलिए सावधान रहें और हमेशा अपनी भूमिकाओं और अनुमतियों का परीक्षण करें और विशेष करें कि क्या अनुमत है, क्योंकि सभी डिफ़ॉल्ट रूप से निषेधित है।

RBAC की गणना

# Get current privileges
kubectl auth can-i --list
# use `--as=system:serviceaccount:<namespace>:<sa_name>` to impersonate a service account

# List Cluster Roles
kubectl get clusterroles
kubectl describe clusterroles

# List Cluster Roles Bindings
kubectl get clusterrolebindings
kubectl describe clusterrolebindings

# List Roles
kubectl get roles
kubectl describe roles

# List Roles Bindings
kubectl get rolebindings
kubectl describe rolebindings

विशेषाधिकार बढ़ाने के लिए भूमिका/क्लस्टर भूमिकाएँ दुरुपयोग करें

Abusing Roles/ClusterRoles in Kubernetes

AWS हैकिंग सीखें और अभ्यास करें:HackTricks प्रशिक्षण AWS रेड टीम विशेषज्ञ (ARTE) GCP हैकिंग सीखें और अभ्यास करें: HackTricks प्रशिक्षण GCP रेड टीम विशेषज्ञ (GRTE)

हैकट्रिक्स का समर्थन करें

• सदस्यता योजनाएँ की जाँच करें!

• शामिल हों 💬 डिस्कॉर्ड समूह या टेलीग्राम समूह या हमें ट्विटर 🐦 @hacktricks_live** पर फॉलो** करें।

• हैकिंग ट्रिक्स साझा करें, हैकट्रिक्स HackTricks और HackTricks Cloud github रेपो में PR जमा करके।