Kubernetes RBAC Security (Contrôle d'accès basé sur les rôles Kubernetes)
devsecopsDéfinition
Le Role-Based Access Control (RBAC) Kubernetes est le mécanisme principal de gestion des autorisations dans les clusters Kubernetes, permettant de définir précisément quelles opérations (verbes : get, list, create, delete, patch) sont autorisées sur quelles ressources (pods, secrets, deployments) pour quels sujets (utilisateurs, groupes, ServiceAccounts). Sa configuration sécurisée est critique car un RBAC trop permissif peut mener à une escalade de privilèges jusqu'à la compromission complète du cluster. Les erreurs courantes incluent le binding du rôle cluster-admin à des comptes de service applicatifs, l'utilisation de wildcards (*) dans les verbes ou ressources, et l'accès non restreint aux secrets. Des outils comme rbac-lookup, rbac-audit, kubectl-who-can ou Rakkess permettent d'auditer les permissions RBAC. KubeAudit et kube-bench vérifient la conformité au CIS Kubernetes Benchmark sur les configurations RBAC. Le principe du moindre privilège impose de créer des rôles minimaux par namespace, d'utiliser des ServiceAccounts dédiés par application, et d'auditer régulièrement les bindings pour détecter les permissions orphelines ou excessives.
Description
Le RBAC Kubernetes contrôle finement les autorisations (verbes: get, list, create, delete, patch, watch) sur les ressources (pods, secrets, deployments) par sujet (User, Group, ServiceAccount). Les erreurs classiques : binding cluster-admin aux SA applicatifs, wildcards (*) dans les règles, accès non restreint aux Secrets.
Mise en œuvre
Auditer avec kubectl-who-can list secrets -n production et rakkess. Valider la conformité CIS Kubernetes Benchmark avec kube-bench. Créer des rôles minimaux par namespace : kubectl create role reader --verb=get,list --resource=pods -n myapp.
Points clés
- ServiceAccounts dédiés par application : jamais utiliser le SA default
automountServiceAccountToken: falsesur les pods n'accédant pas à l'API K8s- Audit RBAC régulier : détecter les bindings orphelins et les permissions excessives accumulées
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis