How to Reduce Overprivileged Kubernetes Service Accounts

Trong môi trường Kubernetes, các Service Account thường được cấp quyền quá rộng so với nhu cầu thực tế, tạo ra lỗ hổng bảo mật tiềm tàng. Nguyên nhân kỹ thuật nằm ở việc sử dụng cluster-wide role bindings và RBAC (Role-Based Access Control) không được phân chia chi tiết. Hậu quả là các ứng dụng có thể truy cập vào tài nguyên không cần thiết, như API server hoặc các namespace khác, dẫn đến nguy cơ tấn công leo thang quyền. Bài hướng dẫn này giải thích cách sử dụng admission controllers như Pod Security Admission và các công cụ như kube-bench để kiểm soát và hạn chế quyền Service Account một cách hiệu quả.