# Kubernetes Kyverno omseiling

{{#include ../../../banners/hacktricks-training.md}}

**Die oorspronklike skrywer van hierdie bladsy is** [**Guillaume**](https://www.linkedin.com/in/guillaume-chapela-ab4b9a196)

## Misbruik van beleidsmisconfigurasie

### Lys reëls

Om 'n oorsig te hê, kan help om te weet watter reëls aktief is, in watter modus en wie dit kan omseil.
```bash
$ kubectl get clusterpolicies
$ kubectl get policies
```
### Enumereer Uitsluitings

Vir elke ClusterPolicy en Policy kan jy 'n lys van uitgeslote entiteite spesifiseer, insluitend:

- Groepe: `excludedGroups`
- Gebruikers: `excludedUsers`
- Diensrekening (SA): `excludedServiceAccounts`
- Rolle: `excludedRoles`
- Klasrolle: `excludedClusterRoles`

Hierdie uitgeslote entiteite sal vrygestel wees van die beleidsvereistes, en Kyverno sal die beleid nie vir hulle afdwing nie.

## Voorbeeld

Kom ons kyk na een clusterpolicy voorbeeld :
```
$ kubectl get clusterpolicies MYPOLICY -o yaml
```
Soek na die uitgeslote entiteite :
```yaml
exclude:
any:
- clusterRoles:
- cluster-admin
- subjects:
- kind: User
name: system:serviceaccount:DUMMYNAMESPACE:admin
- kind: User
name: system:serviceaccount:TEST:thisisatest
- kind: User
name: system:serviceaccount:AHAH:*
```
Binne 'n kluster kan verskeie bygevoegde komponente, operateurs en toepassings uitsluiting van 'n klusterbeleid vereis. Dit kan egter uitgebuit word deur te fokus op bevoorregte entiteite. In sommige gevalle kan dit lyk asof 'n naamruimte nie bestaan nie of dat jy nie toestemming het om 'n gebruiker na te volg nie, wat 'n teken van verkeerde konfigurasie kan wees.

## Misbruik van ValidatingWebhookConfiguration

Nog 'n manier om beleide te omseil, is om op die ValidatingWebhookConfiguration hulpbron te fokus:

{{#ref}}
../kubernetes-validatingwebhookconfiguration.md
{{#endref}}

## Meer inligting

Vir meer inligting, kyk [https://madhuakula.com/kubernetes-goat/docs/scenarios/scenario-22/securing-kubernetes-clusters-using-kyverno-policy-engine/welcome/](https://madhuakula.com/kubernetes-goat/docs/scenarios/scenario-22/securing-kubernetes-clusters-using-kyverno-policy-engine/welcome/)

{{#include ../../../banners/hacktricks-training.md}}
