mirror of
https://github.com/HackTricks-wiki/hacktricks-cloud.git
synced 2026-01-19 16:10:30 -08:00
Translated ['.github/pull_request_template.md', 'src/README.md', 'src/pe
This commit is contained in:
@@ -4,7 +4,7 @@
|
||||
|
||||
## परिभाषा
|
||||
|
||||
Open Policy Agent (OPA) Gatekeeper एक उपकरण है जिसका उपयोग Kubernetes में प्रवेश नीतियों को लागू करने के लिए किया जाता है। ये नीतियाँ OPA द्वारा प्रदान की गई नीति भाषा Rego का उपयोग करके परिभाषित की जाती हैं। नीचे OPA Gatekeeper का उपयोग करके नीति परिभाषा का एक बुनियादी उदाहरण दिया गया है:
|
||||
Open Policy Agent (OPA) Gatekeeper एक उपकरण है जिसका उपयोग Kubernetes में प्रवेश नीतियों को लागू करने के लिए किया जाता है। ये नीतियाँ OPA द्वारा प्रदान की गई Rego, एक नीति भाषा, का उपयोग करके परिभाषित की जाती हैं। नीचे OPA Gatekeeper का उपयोग करके नीति परिभाषा का एक बुनियादी उदाहरण दिया गया है:
|
||||
```rego
|
||||
regoCopy codepackage k8srequiredlabels
|
||||
|
||||
@@ -18,7 +18,7 @@ msg := sprintf("Required labels missing: %v", [missing])
|
||||
|
||||
default allow = false
|
||||
```
|
||||
यह Rego नीति जांचती है कि क्या Kubernetes संसाधनों पर कुछ लेबल मौजूद हैं। यदि आवश्यक लेबल अनुपस्थित हैं, तो यह एक उल्लंघन संदेश लौटाती है। इस नीति का उपयोग यह सुनिश्चित करने के लिए किया जा सकता है कि क्लस्टर में तैनात सभी संसाधनों के पास विशिष्ट लेबल हों।
|
||||
यह Rego नीति जांचती है कि क्या Kubernetes संसाधनों पर कुछ लेबल मौजूद हैं। यदि आवश्यक लेबल गायब हैं, तो यह एक उल्लंघन संदेश लौटाती है। इस नीति का उपयोग यह सुनिश्चित करने के लिए किया जा सकता है कि क्लस्टर में तैनात सभी संसाधनों के पास विशिष्ट लेबल हों।
|
||||
|
||||
## Apply Constraint
|
||||
|
||||
|
||||
@@ -1,4 +1,4 @@
|
||||
# Kubernetes OPA Gatekeeper bypass
|
||||
# Kubernetes OPA Gatekeeper बायपास
|
||||
|
||||
**इस पृष्ठ के मूल लेखक हैं** [**Guillaume**](https://www.linkedin.com/in/guillaume-chapela-ab4b9a196)
|
||||
|
||||
@@ -6,7 +6,7 @@
|
||||
|
||||
### नियमों की गणना करें
|
||||
|
||||
एक अवलोकन होना मददगार हो सकता है यह जानने के लिए कि कौन से नियम सक्रिय हैं, किस मोड में हैं और कौन इसे बायपास कर सकता है।
|
||||
एक अवलोकन होने से यह जानने में मदद मिल सकती है कि कौन से नियम सक्रिय हैं, किस मोड में हैं और कौन इसे बायपास कर सकता है।
|
||||
|
||||
#### CLI के साथ
|
||||
```bash
|
||||
@@ -26,18 +26,18 @@ $ kubectl get k8smandatorylabels
|
||||
|
||||
<figure><img src="../../../images/05-constraints.png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
प्रदर्शित सेवा के लिए खोजें:
|
||||
खुले हुए सेवा के लिए खोजें :
|
||||
```bash
|
||||
$ kubectl get services -A | grep gatekeeper
|
||||
$ kubectl get services -A | grep 'gatekeeper-policy-manager-system'
|
||||
```
|
||||
### Excluded namespaces
|
||||
|
||||
जैसा कि ऊपर की छवि में दर्शाया गया है, कुछ नियम सभी namespaces या उपयोगकर्ताओं पर सार्वभौमिक रूप से लागू नहीं हो सकते। इसके बजाय, वे एक व्हाइटलिस्ट आधार पर कार्य करते हैं। उदाहरण के लिए, `liveness-probe` प्रतिबंध को पांच निर्दिष्ट namespaces पर लागू करने से बाहर रखा गया है।
|
||||
जैसा कि ऊपर की छवि में दर्शाया गया है, कुछ नियम सभी namespaces या उपयोगकर्ताओं पर सार्वभौमिक रूप से लागू नहीं हो सकते हैं। इसके बजाय, वे एक व्हाइटलिस्ट आधार पर कार्य करते हैं। उदाहरण के लिए, `liveness-probe` बाधा को पांच निर्दिष्ट namespaces पर लागू करने से बाहर रखा गया है।
|
||||
|
||||
### Bypass
|
||||
|
||||
Gatekeeper कॉन्फ़िगरेशन का व्यापक अवलोकन करते हुए, संभावित गलत कॉन्फ़िगरेशन की पहचान करना संभव है जिसे विशेषाधिकार प्राप्त करने के लिए शोषित किया जा सकता है। उन व्हाइटलिस्टेड या बाहर किए गए namespaces की तलाश करें जहाँ नियम लागू नहीं होता, और फिर वहाँ अपना हमला करें।
|
||||
Gatekeeper कॉन्फ़िगरेशन का व्यापक अवलोकन करते हुए, संभावित गलत कॉन्फ़िगरेशन की पहचान करना संभव है जिसे विशेषाधिकार प्राप्त करने के लिए शोषित किया जा सकता है। उन व्हाइटलिस्टेड या बाहर किए गए namespaces की तलाश करें जहाँ नियम लागू नहीं होता है, और फिर वहाँ अपना हमला करें।
|
||||
|
||||
{{#ref}}
|
||||
../abusing-roles-clusterroles-in-kubernetes/
|
||||
@@ -45,7 +45,7 @@ Gatekeeper कॉन्फ़िगरेशन का व्यापक अव
|
||||
|
||||
## Abusing ValidatingWebhookConfiguration
|
||||
|
||||
प्रतिबंधों को बायपास करने का एक और तरीका ValidatingWebhookConfiguration संसाधन पर ध्यान केंद्रित करना है : 
|
||||
बाधाओं को बायपास करने का एक और तरीका ValidatingWebhookConfiguration संसाधन पर ध्यान केंद्रित करना है : 
|
||||
|
||||
{{#ref}}
|
||||
../kubernetes-validatingwebhookconfiguration.md
|
||||
|
||||
Reference in New Issue
Block a user