⏱️
Temps de lecture estimé
~1 minute
~1 minute
API Server — Point d’Entrée Central
Description & Rôle
L’API Server est le composant central de Kubernetes qui expose l’API RESTful. Tous les objets Kubernetes (pods, services, deployments, etc.) sont gérés par l’API Server, qui stocke l’état dans etcd. C’est le point d’entrée unique pour l’administration et l’orchestration du cluster.
CVEs Connus
ℹ️
CVE-2024-3177 — Fuite d’informations sensibles via les logs de l’API Server en cas de verbosité excessive. Affecte les versions < 1.27.13, 1.28.x < 1.28.9, 1.29.x < 1.29.4. Lien CVE
ℹ️
CVE-2024-21658 — Contournement du RBAC via des requêtes malveillantes au niveau HTTP. Affecte Kubernetes < 1.26.13, 1.27.x < 1.27.9, 1.28.x < 1.28.5. Lien CVE
Analyse STRIDE
| Risque | Description |
|---|---|
| S — Spoofing | Accès non authentifié via certificats compromis ou jetons exposés; Utilisation de tokens ServiceAccount sans rotation |
| T — Tampering | Modification d’objets Kubernetes sans audit trail approprié; Pas de validations strictes sur les modifications API |
| R — Repudiation | Logs d’API insuffisants ou non persistants; Pas de traçabilité des mutations critiques |
| I — Information Disclosure | Exposition de secrets dans les réponses API; Logs contenant des données sensibles |
| D — Denial of Service | Surcharge de l’API Server par des requêtes massives; Pas de rate-limiting ou throttling approprié |
| E — Elevation of Privilege | Contournement du RBAC via requêtes malformées; Admission controllers faibles ou désactivés |
Best-Practices Minimales
- Chiffrer toute communication API en TLS 1.2+ (mutuellement)
- Implémenter l’audit complet avec persistance (–audit-log-path, –audit-log-maxage)
- Appliquer le RBAC strictement (privilège minimal)
- Utiliser des authentifications client forts (certificats, OpenID Connect)
- Mettre en place le network policy pour restreindre l’accès à l’API Server
- Activer l’Admission Webhook pour valider les requêtes sensibles
- Monitorer les tentatives d’accès échouées sur l’API Server
- Maintenir l’API Server à jour (patch de sécurité réguliers)