Google Kubernetes Engine se situe à la couture entre Cloud IAM et Kubernetes RBAC, et les deux extrémités sont attaquables depuis le côté cloud. Une permission Cloud IAM (container.clusters.getCredentials) vous remet un kubeconfig pour le cluster ; un shell sur un nœud vous donne le jeton du compte de service du node pool depuis le serveur de métadonnées. Les pages ici couvrent cet angle cloud-vers-cluster et identité-de-nœud.
Ce qui se rattache ici#
- Accès au cluster :
container.clusters.getCredentialset le flux get-credentials pour atteindre l'API Kubernetes. - Identité du nœud : voler le jeton du compte de service du node pool depuis les métadonnées, et abuser de Workload Identity.
Les attaques Kubernetes génériques internes au cluster (RBAC, jetons de compte de service, évasion de pod) se trouvent dans la section Conteneurs ; ces pages restent sur l'angle plan-de-contrôle GCP et identité-de-nœud.