k8s (in)security

Ресурс ResourceQuota уже не раз упоминался в контексте ИБ у нас на канале. Сегодня хочется поделиться еще одним прикольным трюком с ним в контексте ограничения сетевого доступа. Неожиданно правда?)



Если внимательно почитать о данном объекте в документации, то станет известно, что можно ограничивать количество ресурсов разных типов в определенном namespace, в том числе и базовых связанных с сетью:

- services

- services.loadbalancers

- services.nodeports



И вот если последним двум поставить значение лимита в 0, то это предотвратит создание пользователями приложений доступных из вне кластера там, где этого точно не должно быть. То есть получим еще один уровень обороны на ряду с NetworkPolicy от нерадивых и зловредных пользователей на сетевом уровне.



Если у вас используются еще какие-то другие Custom Resource связанные с сетью, то и их можно также описать в ResourceQuota ;)