Kubernetes Admission Control, Policy-as-Code και Runtime Guardrails — DedSec Project

Ελληνική έκδοση — Μάθημα 135. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει την ακρίβεια.

Κατανόησε Kubernetes admission lifecycle, validation/mutation, policy-as-code, Pod Security, image trust και runtime drift.

Μαθησιακοί στόχοι

Στο τέλος πρέπει να μπορείς να:

• εξηγήσεις το API admission lifecycle και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το mutating versus validating admission και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το Pod Security Standards concepts και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το policy-as-code engines και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το image provenance and allowlists και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το namespace and service-account context και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,

Βαθιές τεχνικές έννοιες

1. admission lifecycle

Kubernetes admission εκτελείται μετά authn/authz και πριν αποθήκευση object. Είναι policy point για desired configuration και δεν αντικαθιστά runtime isolation, RBAC ή drift detection.

2. mutating έναντι validating admission

Mutating admission αλλάζει/defaults object και validating αποφασίζει accept/reject. Κράτησε mutations predictable και observable ώστε να μη δημιουργούν hidden configuration που δυσκολεύει signatures και debugging.

3. Pod Security Standards

Pod Security Standards ορίζουν baseline/restricted expectations για privilege, host namespaces, capabilities, volumes και seccomp. Χρησιμοποίησε narrow documented exceptions μόνο όπου workload το απαιτεί.

4. policy engines

Policy engines αξιολογούν manifests με organization rules. Version policies as code, κάνε allow/deny tests σε CI και monitor exceptions ώστε temporary bypass να μη γίνει permanent.

5. image provenance και allowlists

Admission μπορεί να επιβάλλει registry, digest, signatures/attestations και provenance. Για high assurance προτίμησε immutable digest και verified provenance αντί για mutable tag.

6. namespace και service-account context

Risk ενός manifest αλλάζει με namespace, service account, secrets, network policy και environment. Policy decision πρέπει να περιλαμβάνει το πραγματικό context authority.

7. runtime drift

Admission ελέγχει create/update time, αλλά runtime, nodes, credentials και external services μπορούν να drift. Συνδύασέ το με reconciliation και runtime telemetry.

8. telemetry και exceptions

Κατέγραψε policy/version, object, namespace, identity, decision και exception. Exception χρειάζεται owner, reason, scope και expiry.

Καθοδηγούμενο εργαστήριο

• Εργαστήριο 1 — Γράψε απαιτήσεις πολιτικής για δοκιμαστικό manifest Kubernetes: χρήστης χωρίς root, περιορισμένα capabilities, έμπιστη πηγή εικόνας και όρια πόρων.

• Εργαστήριο 2 — Σύγκρινε στοιχεία κατά την αποδοχή και κατά την εκτέλεση του ίδιου υποθετικού φόρτου εργασίας.

• Εργαστήριο 3 — Δημιούργησε εξαίρεση με υπεύθυνο, αιτιολογία, λήξη και αντισταθμιστικό έλεγχο και όρισε αυτόματο έναυσμα επανεξέτασης.

Πλήρες αγγλικό μάθημα

English Module 135

Επόμενα μαθήματα

Σχετικά modules: 024, 041, 075, 093, 097, 113. Από το κύριο menu επίλεξε Αναζήτηση μαθημάτων για να βρεις σχετικά θέματα σε όλο το project.