⏱️
Temps de lecture estimé
~1 minute
~1 minute
RBAC — Contrôle d’Accès Basé sur les Rôles
Description & Rôle
RBAC contrôle qui peut faire quoi dans le cluster Kubernetes via des Roles, ClusterRoles, RoleBindings, et ClusterRoleBindings. C’est le cœur du modèle de sécurité Kubernetes.
CVEs Connus
ℹ️
CVE-2024-21658 — Contournement du RBAC via des requêtes API malveillantes (déjà mentionné dans API Server). Lien CVE
ℹ️
CVE-2024-27955 — Escalade de privilèges via permissions overly permissive sur les ClusterRoles. Affecte les configurations RBAC faibles.
Analyse STRIDE
| Risque | Description |
|---|---|
| S — Spoofing | Usurpation de ServiceAccount pour bénéficier de ses permissions |
| T — Tampering | Modification des ClusterRoles pour ajouter des permissions |
| R — Repudiation | Pas d’audit des changements RBAC |
| I — Information Disclosure | Énumération des permissions via API |
| D — Denial of Service | Restriction RBAC bloquant les operations légales |
| E — Elevation of Privilege | Bindings trop larges (cluster-admin, wildcard permissions) |
Best-Practices Minimales
- Principle of Least Privilege : permission minimale nécessaire
- Pas de wildcard : éviter
*dans les verbes ou ressources - ServiceAccounts dédiés : pas de default ServiceAccount
- Audit RBAC :
kubectl get clusterrole,clusterrolebinding -A - Éviter cluster-admin : utiliser des ClusterRoles spécifiques
- Quarantine RBAC : restrictions strictes dans les namespaces sensibles
- Automation : tools comme
kubectl-who-canpour analyser les permissions - Regular review : audit trimestriel des bindings RBAC
- PSP/Pod Security Standards : combiné avec RBAC pour l’isolation