威胁模型

在网络层面上，攻击者可以访问Webhook端点，可能会发送大量流量，导致准入控制器有效地拒绝服务。

Webhook失败时关闭。如果Webhook未能及时响应，出于任何原因，API服务器应拒绝该请求。 这是Admission Controller的默认行为。

失败时关闭意味着如果出于任何原因，Admission Controller停止响应或崩溃，API服务器默认拒绝该请求。 即使该请求通常被Admission Controller接受。

攻击者可以在网络层面访问准入控制器，向准入控制器传递需要复杂处理的请求，导致超时，因为准入控制器使用计算能力来处理工作负载。

Webhook失败时关闭并对调用者进行身份验证。 这是Admission Controller的默认行为。

具有在集群中创建工作负载权限的攻击者能够利用错误配置来绕过预期的安全控制。

定期审查Webhook配置可以帮助发现问题。

具有Kubernetes API访问权限的攻击者拥有足够的权限删除集群中的Webhook对象。

RBAC权限应严格控制。

大部分RBAC不在当前讨论的范围内。然而，以下内容将在适当的时候提供，以帮助Admission Controller用户：

攻击者获得准入控制Webhook的有效客户端凭证。

Webhook失败关闭。 这是Admission Controller的默认行为。

攻击者获得Kubernetes集群中的集群管理员级别凭证。

不适用

具有容器网络访问权限的攻击者能够嗅探API服务器与准入控制Webhook之间的流量。

由于Webhook对所有流量使用TLS加密，Admission Controller是安全的。

在容器网络上的攻击者，具有NET_RAW能力，可以尝试使用中间人工具拦截API服务器与准入控制Webhook之间的流量。

为 Webhooks 配置带有 mTLS 认证的集群，并在 Admission Controller 堆栈中启用 mTLS 功能。或者，使用支持网络策略的 CNI 设置 mTLS。有关更多信息，请参阅 "使用互信 TLS 保护 Webhooks"。

使用 capabilities-psp 策略，并将其配置为丢弃 NET_RAW 能力。

攻击者可以通过欺骗，将原本发送给准入控制Webhook的 API 服务器流量重定向。

为 Webhooks 配置带有 mTLS 认证的集群，并在 Admission Controller 堆栈中启用 mTLS 功能。或者，使用支持网络策略的 CNI 设置 mTLS。有关更多信息，请参阅 "使用互信 TLS 保护 Webhooks"。

攻击者能够导致变更入场控制器修改工作负载，从而允许创建特权容器。

审查并测试所有规则。

攻击者能够将工作负载部署到免于入场控制器配置的 Kubernetes 命名空间。

RBAC 权限受到严格控制。

大多数 RBAC 不在此决策的范围内。然而，Admission Controller 团队的目标是：

攻击者创建了一个工作负载描述文件，使用了 Kubernetes API 的某个特性，而该特性未被准入控制器覆盖。

审查并测试所有规则。您应该审查更改任何政策部署中规则的 PR。

具有创建工作负载权限的攻击者利用错误的字符串匹配绕过规则。

审查并测试所有规则。

引入测试以覆盖此规则。 和往常一样，您应该审查更改政策部署中规则的 PR。

攻击者拥有创建工作负载的权限，利用 Kubernetes API 的新功能（例如，已更改的 API 版本）绕过规则。

审查并测试所有规则。有一项策略测试是否使用了已弃用的资源。它可以从 已弃用的 API 版本策略 获取。

攻击者拥有在集群中部署特权容器的权限，在运行准入控制器 Webhook 的集群节点上创建特权容器。

准入控制器使用限制性策略来防止特权工作负载。

攻击者拥有在工作负载中部署 hostPath 卷的权限，创建一个允许访问准入控制器 Pod 文件的卷。

部署 kubewarden-default Helm 图表并启用其推荐的策略，其中包括 hostpaths-psp 策略。该策略配置为减少共享的 hostPath 卷。

威胁 17 - 攻击者对运行准入 Webhook 的集群节点具有特权 SSH 访问权限。

不适用

威胁 18 - 攻击者利用策略将准入请求中的机密数据发送到外部系统。

假设有一个受信任的新 Kubernetes 集群，攻击者有可能在部署前破坏 Admission Controller 堆栈，从而绕过任何保护策略的执行。

例如，通过：