# OpenShift - Nedostajući servisni nalog

## Nedostajući servisni nalog

Dešava se da je klaster postavljen sa unapred konfigurisanom šablonom koja automatski postavlja Uloge, RoleBindings i čak SCC na servisni nalog koji još nije kreiran. To može dovesti do eskalacije privilegija u slučaju da ih možete kreirati. U tom slučaju, mogli biste dobiti token novokreiranog SA i ulogu ili SCC koji su povezani. Ista situacija se dešava kada je nedostajući SA deo nedostajućeg projekta, u tom slučaju, ako možete kreirati projekat, a zatim i SA, dobijate Uloge i SCC povezane.

<figure><img src="../../../images/openshift-missing-service-account-image1.png" alt=""><figcaption></figcaption></figure>

Na prethodnom grafikonu imamo više AbsentProject, što znači više projekata koji se pojavljuju u Role Bindings ili SCC, ali još nisu kreirani u klasteru. U istom smislu imamo i AbsentServiceAccount.

Ako možemo kreirati projekat i nedostajući SA u njemu, SA će naslediti Ulogu ili SCC koji su ciljali na AbsentServiceAccount. Što može dovesti do eskalacije privilegija.

Sledeći primer prikazuje nedostajući SA kojem je dodeljen node-exporter SCC:

<figure><img src="../../../images/openshift-missing-service-account-image2.png" alt=""><figcaption></figcaption></figure>

## Alati

Sledeći alat može se koristiti za enumeraciju ovog problema i općenitije za grafičko prikazivanje OpenShift klastera:

{{#ref}}
https://github.com/maxDcb/OpenShiftGrapher
{{#endref}}
