Kubernetes выпустил версию v1.36, которая включает важное обновление для защиты политик доступа — теперь нельзя удалить критически важные правила. Это решение поможет избежать проблем безопасности, возникающих во время настройки кластеров.
Проблема с безопасностью
До сих пор администраторы не могли гарантировать, что важные политики доступа будут активны сразу после создания кластера. Во время начальной загрузки API-сервера всегда существовал риск, что привилегированный пользователь сможет удалить эти правила. Теперь в Kubernetes v1.36 внедрён механизм, который позволяет загружать правила из файлов на диске до обработки любых запросов.
Как это работает
Новое решение — манифест-базированное управление доступом — использует файловую систему для хранения политик в формате YAML. Администраторы могут указать директорию с политиками в конфигурационном файле AdmissionConfiguration. Например, все манифесты должны иметь окончание .static.k8s.io для предотвращения конфликта с API-объектами. Запрет на удаление привилегированных контейнеров — один из примеров новой политики, которую теперь можно реализовать на старте.
Ценные обновления для разработчиков
Для разработчиков и администраторов Kubernetes это обновление означает больше стабильности и уверенности в защите кластера. Если сейчас вы используете Kubernetes, стоит обратить внимание на изменения в v1.36 и внедрить новые политики, чтобы уменьшить риски от действий недобросовестных пользователей. По данным аналитиков, внедрение таких механизмов может снизить количество инцидентов безопасности до 40%.
Следующий важный этап — возможность тестирования нового механизма в различных сценариях, что позволит высвободить ресурсы для более безопасной и эффективной работы кластеров.