C-16
🎚️ K8s RBAC 과도 권한
클라우드/컨테이너 · 컨테이너
위험도: 상💡 쉽게 말하면
cluster-admin은 클러스터의 만능 마스터키입니다. 파드 하나가 뚫려 그 키를 쥐면 클러스터 전체가 넘어갑니다. 최소 권한은 자기 방 열쇠만 줘 피해를 가둡니다.
cluster-admin은 클러스터의 만능 마스터키입니다. 파드 하나가 뚫려 그 키를 쥐면 클러스터 전체가 넘어갑니다. 최소 권한은 자기 방 열쇠만 줘 피해를 가둡니다.
🎯 직접 해보기 — 공격을 실행해 보세요
아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.
# 침해된 파드 토큰으로 전체 시크릿을 훔친다
# [공격 실행] 버튼을 누르면 시작합니다.
📋 설정 비교 (왜 막혔나?)
✗ 취약한 설정
# RBAC 권한
$ kubectl get clusterrolebinding
default SA -> cluster-admin
→ 파드 침해로 클러스터 장악
✓ 안전한 설정
# 최소 권한
$ Role + RoleBinding (네임스페이스 한정)
필요 권한만 부여
→ 권한 격리
🔧 조치 방법
- cluster-admin 등 과도 권한을 회수하고 네임스페이스 한정 Role을 부여합니다.
- 기본 서비스계정에 권한을 자동 부여하지 않습니다.
✅ 점검 체크리스트
- 과도한 RBAC 권한이 회수됨
- 최소 권한 Role이 적용됨
점검기준: 컨테이너 보안 > K8s RBAC