Автор делится чек-листом для ревью аудит-политик Kubernetes, основанным на анализе собственного конфига объемом более 500 строк. Цель — устранить «слепые зоны», которые появляются, когда правила не пересматриваются годами и обрастают исключениями.
Ключевая техническая особенность заключается в том, что правила проверяются сверху вниз и применяется первое совпадение. Если широкое правило-исключение стоит выше узкого критичного правила, последнее никогда не сработает, поэтому порядок правил важнее ошибок в отдельных пунктах.
Для борьбы с шумом от системных компонентов рекомендуется точечно ограничивать исключения конкретными пользователями, глаголами (verbs) и ресурсами. Отсутствие списка глаголов в правиле с уровнем None может скрыть любые мутации, если токен сервис-аккаунта будет скомпрометирован.
Для секретов и конфигмапов рекомендуется использовать уровень Metadata, чтобы фиксировать факт обращения без записи содержимого. Для критических действий, таких как pods/exec, pods/attach, pods/portforward и изменения RBAC, следует использовать уровень RequestResponse.
Чек-лист предлагает раз в квартал сверять список пользователей в политиках с реально существующими сервис-аккаунтами в кластере, чтобы удалить остатки после миграций (например, с kube-router на Cilium). Также важно следить за соответствием комментариев реальной логике правил.
