k8s-security-policies
實作 Kubernetes 安全策略和 RBAC 控制
Kubernetes 叢集需要適當的安全策略來防止未經授權的存取和網路攻擊。此技能提供可立即使用的 NetworkPolicy、RBAC 和 Pod 安全標準範本。
下載技能 ZIP
在 Claude 中上傳
前往 設定 → 功能 → 技能 → 上傳技能
開啟並開始使用
測試它
正在使用「k8s-security-policies」。 Create a NetworkPolicy that allows frontend pods to talk to backend on port 8080
預期結果:
- 已為 'production' 命名空間建立 NetworkPolicy
- 傳入規則：允許來自具有 app=frontend 標籤之 pods 的流量
- 目標：具有 app=backend 標籤的 pods，TCP 連接埠 8080
- 所有其他傳入後端 pods 的流量都會被拒絕
正在使用「k8s-security-policies」。 Set up RBAC for a developer who needs read access to pods and deployments
預期結果:
- 已在 'development' 命名空間中建立 Role 'developer-read'
- 許可權：對 pods 和 deployments 執行 get、list、watch
- RoleBinding 'dev-team-read' 將角色綁定至使用者 'alice@company.com'
- 未授予寫入或刪除許可權
安全審計
安全This skill contains Kubernetes security documentation and YAML templates. All static findings are false positives: the metadata endpoint IP is shown as an EXAMPLE OF WHAT TO BLOCK (security best practice), backtick patterns are markdown code fence syntax, and 'weak crypto' matches are Kubernetes resource names like 'cluster-admin'. No executable code or malicious patterns present.
風險因素
🌐 網路存取 (4)
⚙️ 外部命令 (67)
品質評分
你能建構什麼
保護多租戶 Kubernetes 叢集
使用 NetworkPolicy 和 RBAC 實作命名空間隔離，以防止共享叢集中的跨租戶存取。
達成安全標準合規性
使用 Pod 安全標準和 RBAC 配置套用 CIS Kubernetes Benchmark 控制。
為服務配置最低權限存取
建立 ServiceAccounts 和 RoleBindings，只授予應用程式所需的許可權。
試試這些提示
為 payments 命名空間建立一個預設拒絕所有傳入和傳出流量的 NetworkPolicy。
建立一個 ClusterRole 和 RoleBinding，允許我的 CI/CD 服務帳戶部署應用程式，但不能讀取 secrets。
將 restricted Pod 安全標準套用至生產命名空間，並記錄違規稽核日誌。
為具有前端、後端和資料庫層的微服務應用程式設計完整的安全策略集，包括 NetworkPolicy、RBAC 和 Pod 安全上下文。
最佳實務
- 從預設拒絕的 NetworkPolicy 開始，然後新增特定的允許規則
- 盡可能使用命名空間範圍的 Roles 而非 ClusterRoles
- 對於不需要 API 存取的 pods，停用 ServiceAccount 令牌自動掛載
避免
- 不要在生產環境 RBAC 規則中使用萬用字元動詞或資源
- 不要在生產環境命名空間中跳過 Pod 安全標準強制執行
- 不要將 cluster-admin 授予應用程式 ServiceAccounts