# OpenShift - Missing Service Account

{{#include ../../../banners/hacktricks-training.md}}

## Missing Service Account

クラスターが事前に設定されたテンプレートでデプロイされ、まだ作成されていないサービスアカウントに対して自動的にRoles、RoleBindings、さらにはSCCが設定されることがあります。これにより、これらを作成できる場合に特権昇格が発生する可能性があります。この場合、新しく作成されたSAのトークンと関連するロールまたはSCCを取得できるようになります。同様のケースは、欠落しているSAが欠落しているプロジェクトの一部である場合にも発生します。この場合、プロジェクトを作成し、その後SAを作成できれば、関連するRolesとSCCを取得できます。

<figure><img src="../../../images/openshift-missing-service-account-image1.png" alt=""><figcaption></figcaption></figure>

前のグラフでは、Roles BindingsやSCCに表示されているがまだクラスターに作成されていない複数のAbsentProjectを示しています。同様に、AbsentServiceAccountもあります。

プロジェクトとその中の欠落しているSAを作成できる場合、SAはAbsentServiceAccountをターゲットにしていたRoleまたはSCCから継承されます。これにより、特権昇格が発生する可能性があります。

以下の例は、node-exporter SCCが付与された欠落しているSAを示しています：

<figure><img src="../../../images/openshift-missing-service-account-image2.png" alt=""><figcaption></figcaption></figure>

## Tools

この問題を列挙し、一般的にOpenShiftクラスターをグラフ化するために使用できるツールは次のとおりです：

{{#ref}}
https://github.com/maxDcb/OpenShiftGrapher
{{#endref}}

{{#include ../../../banners/hacktricks-training.md}}
