k8s-security-policies
Внедрение политик безопасности Kubernetes и RBAC-контролей
Kubernetes-кластерам требуются надлежащие политики безопасности для защиты от несанкционированного доступа и сетевых атак. Этот навык предоставляет готовые к использованию шаблоны для NetworkPolicy, RBAC и стандартов безопасности подов.
Скачать ZIP навыка
Загрузить в Claude
Перейдите в Settings → Capabilities → Skills → Upload skill
Включите и начните использовать
Протестировать
Использование «k8s-security-policies». Create a NetworkPolicy that allows frontend pods to talk to backend on port 8080
Ожидаемый результат:
- NetworkPolicy created for namespace 'production'
- Ingress rule: allows traffic from pods with label app=frontend
- Target: pods with label app=backend on TCP port 8080
- All other ingress traffic to backend pods is denied
Использование «k8s-security-policies». Set up RBAC for a developer who needs read access to pods and deployments
Ожидаемый результат:
- Role 'developer-read' created in namespace 'development'
- Permissions: get, list, watch on pods and deployments
- RoleBinding 'dev-team-read' binds role to user 'alice@company.com'
- No write or delete permissions granted
Аудит безопасности
БезопасноThis skill contains Kubernetes security documentation and YAML templates. All static findings are false positives: the metadata endpoint IP is shown as an EXAMPLE OF WHAT TO BLOCK (security best practice), backtick patterns are markdown code fence syntax, and 'weak crypto' matches are Kubernetes resource names like 'cluster-admin'. No executable code or malicious patterns present.
Факторы риска
🌐 Доступ к сети (4)
⚙️ Внешние команды (67)
Оценка качества
Что вы можете построить
Защита мультитенантных Kubernetes-кластеров
Внедрить изоляцию пространств имён с помощью NetworkPolicy и RBAC для предотвращения межтенантного доступа в общих кластерах.
Достижение соответствия стандартам безопасности
Применить элементы управления CIS Kubernetes Benchmark с помощью стандартов безопасности подов и конфигураций RBAC.
Настройка доступа с минимальными привилегиями для сервисов
Создавать ServiceAccounts и RoleBindings, предоставляющие только те разрешения, которые необходимы вашему приложению.
Попробуйте эти промпты
Создайте NetworkPolicy, которая запрещает весь входящий и исходящий трафик по умолчанию для пространства имён payments.
Создайте ClusterRole и RoleBinding, которые позволяют моему CI/CD ServiceAccount развёртывать приложения, но не читать секреты.
Примените ограниченные стандарты безопасности подов к моему production-пространству имён с журналированием нарушений.
Разработайте полный набор политик безопасности для приложения с микросервисами, включающего уровни frontend, backend и базу данных, включая NetworkPolicy, RBAC и контексты безопасности подов.
Лучшие практики
- Начните с NetworkPolicy с запретом по умолчанию и добавляйте конкретные правила разрешения
- Используйте Roles в области видимости пространства имён вместо ClusterRoles, когда это возможно
- Отключите автомонтирование токенов ServiceAccount для подов, не требующих API-доступа
Избегать
- Не используйте подстановочные глаголы или ресурсы в RBAC-правилах для production
- Не пропускайте применение стандартов безопасности подов в production-пространствах имён
- Не предоставляйте cluster-admin ServiceAccounts приложений
Часто задаваемые вопросы
Почему моя NetworkPolicy не блокирует трафик?
В чём разница между Role и ClusterRole?
Следует ли использовать Pod Security Policies или Pod Security Standards?
Как проверить, работают ли RBAC-разрешения?
Какой уровень стандартов безопасности подов использовать для production?
Как разрешить DNS-трафик с политикой запрета по умолчанию?
Сведения для разработчиков
Автор
wshobsonЛицензия
MIT
Репозиторий
https://github.com/wshobson/agents/tree/main/plugins/kubernetes-operations/skills/k8s-security-policiesСсылка
main
Структура файлов