Dunia K6: Pengawal

Misi capstone 5: Kawal

Anda akan belajar: beri Kedai Kancil lencana, kunci, pagar dan meterai, kemudian buktikan kluster tolak image root atau tanpa tandatangan.

Teks BM belum disemak oleh penutur asli.

Disemak dengan Kubernetes 1.37 pada 31 Okt 2026

Masalahnya

Anda di sini: kluster kind-dev namespace default

~/shop $ kubectl apply -f root.yaml --dry-run=serverError from server (Forbidden): error when creating "root.yaml": pods "root-test" is forbidden: violates PodSecurity "restricted:latest": allowPrivilegeEscalation != false (container "web" must set securityContext.allowPrivilegeEscalation=false), unrestricted capabilities (container "web" must set securityContext.capabilities.drop=["ALL"]), runAsNonRoot != true (pod or container "web" must set securityContext.runAsNonRoot=true), seccompProfile (pod or container "web" must set securityContext.seccompProfile.type to "RuntimeDefault" or "Localhost")

Dry run pod nginx root dalam zon kedai ditolak: ia langgar PodSecurity restricted. Output terminal: $ kubectl apply -f root.yaml --dry-run=server Error from server (Forbidden): error when creating "root.yaml": pods "root-test" is forbidden: violates PodSecurity "restricted:latest": allowPrivilegeEscalation != false (container "web" must set securityContext.allowPrivilegeEscalation=false), unrestricted capabilities (container "web" must set securityContext.capabilities.drop=["ALL"]), runAsNonRoot != true (pod or container "web" must set securityContext.runAsNonRoot=true), seccompProfile (pod or container "web" must set securityContext.seccompProfile.type to "RuntimeDefault" or "Localhost")

Misi 5: Kawal. Matlamat anda: kluster anda sendiri tolak image root atau tanpa tandatangan, macam ini. Empat kerja: lencana, kunci, pagar, meterai.

Cuba

Langkah 1: lencana dan kunci. kubectl boleh tuliskan YAML untuk anda dengan --dry-run=client -o yaml.

Misi sebenar

Mulakan k8s/base/rbac.yaml dengan lencana bot CI.
kubectl create serviceaccount ci-bot -n kedai --dry-run=client -o yaml > k8s/base/rbac.yaml
Tambah kad tugasnya.
echo "---" >> k8s/base/rbac.yaml && kubectl create role deployer -n kedai --verb=get,list,patch --resource=deployments --dry-run=client -o yaml >> k8s/base/rbac.yaml
Tambah pinnya.
echo "---" >> k8s/base/rbac.yaml && kubectl create rolebinding ci-bot-deployer -n kedai --role=deployer --serviceaccount=kedai:ci-bot --dry-run=client -o yaml >> k8s/base/rbac.yaml
Dry run pengawal dalam kluster kind anda. Baca pod mana yang akan gagal.
kubectl label --dry-run=server --overwrite ns kedai pod-security.kubernetes.io/enforce=restricted
Tambah empat kunci pada setiap container dalam Deployment anda. Image misi 1 anda patut sudah berjalan bukan sebagai root.
Letak label pod-security.kubernetes.io/enforce: restricted pada fail Namespace kedai anda.
Senaraikan rbac.yaml dalam k8s/base/kustomization.yaml. Apply overlay anda, macam misi 4.
Tanya sebagai bot. Secret mesti jawab no.
kubectl auth can-i get secrets -n kedai --as=system:serviceaccount:kedai:ci-bot

0 daripada 8 langkah siap · Tanda anda disimpan.

Tengok

Zon kedai anda akan bawa dua label pengawal. Satu semak kunci. Satu semak meterai.

Tekan label yang tolak dulang root.

0 daripada 1 dijumpai

Cuba

Langkah 2: pagar dan meterai. Arahan meterai datang dari panduan GitHub, ditulis untuk Helm 4.

Misi sebenar

Buat k8s/base/networkpolicy.yaml. Mulakan dengan pagar deny-all, macam pelajaran 6.
Tambah satu pintu kecil untuk setiap laluan: pintu masuk ke web, web ke API, API ke pangkalan data.
Dari zon lain, panggil Service API anda. Ia patut tamat masa. Guna nama Service anda.
kubectl run probe --rm -it --restart=Never --image=busybox:1.37 -- wget -qO- -T 2 http://api.kedai
Pastikan misi 2 buat attestation untuk image anda, dengan push-to-registry: true (Bahagian 2, "SBOM dan provenance dalam CI").
Pasang policy controller Sigstore.
helm upgrade policy-controller --install --rollback-on-failure --create-namespace --namespace artifact-attestations oci://ghcr.io/sigstore/helm-charts/policy-controller --version 0.10.5
Tambah trust root dan polisi GitHub. Guna nama GitHub anda.
helm upgrade trust-policies --install --rollback-on-failure --namespace artifact-attestations oci://ghcr.io/github/artifact-attestations-helm-charts/trust-policies --version v0.7.0 --set policy.enabled=true --set policy.organization=YOUR-NAME
Image dari tempat lain, macam Postgres dari Docker Hub, perlukan policy.exemptImages. Panduan itu tunjuk caranya.
Hidupkan semakan meterai untuk kedai. Tambah label itu dalam fail Namespace juga.
kubectl label namespace kedai policy.sigstore.dev/include=true

0 daripada 8 langkah siap · Tanda anda disimpan.

Semak

Biar API awam GitHub sahkan fail anda. Taip nama pengguna anda, kemudian semak.

Semak di GitHub

Nama pengguna GitHub anda

Nama repository

Nama pengguna anda dihantar ke api.github.com sahaja.

Repo Kedai Kancil anda awamBelum disemak
Ia ada k8s/base/rbac.yamlBelum disemak
Ia ada k8s/base/networkpolicy.yamlBelum disemak

Semak

API tak nampak dalam kluster anda. Semak sendiri perkara ini.

Misi sebenar

Bot boleh patch deployment dalam kedai. Ia tak boleh baca secret.
kubectl auth can-i patch deployments -n kedai --as=system:serviceaccount:kedai:ci-bot
Dulang root ditolak, walaupun semasa dry run.
kubectl run root-test -n kedai --image=nginx:1.29-alpine --dry-run=server
Image tanpa attestation anda ditolak, walaupun ada keempat-empat kunci.
Kedai anda masih menjawab melalui Gateway.

0 daripada 4 langkah siap · Tanda anda disimpan.

Anda berjaya!

Kini anda boleh kawal Kedai Kancil dengan lencana, kunci, pagar dan meterai.

Nak tahu lebih (pilihan)

Keselamatan: guna kluster kind anda sahaja, jangan kluster kerja. Baca bar merah jambu “anda di sini” sebelum setiap label atau delete. Pod tersekat? Jalankan kubectl get events -n kedai. Kyverno atau Gatekeeper pun boleh semak meterai, kalau pasukan anda sudah guna salah satunya.

English

Anda dah siapkan ini. Latihan lagi pun bagus!

Macam mana pelajaran ini?

Terima kasih! Ini bantu kami jadikannya lebih baik.

Pelajaran seterusnya: Kunci dapur Kembali ke peta

Dokumentasi rasmi: Pod Security Standards · Using RBAC authorization · Network Policies · GitHub: enforce artifact attestations in Kubernetes · Helm 4: helm upgrade

Kekunci: Space = seterusnya, Backspace = kembali, ? = petunjuk, L = bahasa.

🌿

Anda dah belajar 25 minit. Rehat sekejap bantu otak anda.

Pecutan selesai! Fokus yang hebat. Regangkan badan seminit?