Certified Kubernetes Security Specialist (CKS) Studienführer

Anhang. Antworten auf Prüfungsfragen

Kapitel 2, "Cluster-Einrichtung"

1. Erstelle eine Datei mit dem Namen deny-egress-external.yaml für die Definition der Netzwerkrichtlinie. In der Netzwerkrichtlinie muss der Pod-Selektor auf app=backend gesetzt und der Richtlinientyp Egress definiert werden. Achte darauf, dass der Port 53 für die Protokolle UDP und TCP zugelassen ist. Der Namespace-Selektor für die Egress-Richtlinie muss {} verwenden, um alle Namensräume auszuwählen:

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: deny-egress-external
   spec:
     podSelector:
       matchLabels:
         app: backend
     policyTypes:
     - Egress
     egress:
     - to:
       - namespaceSelector: {}
       ports:
       - port: 53
         protocol: UDP
       - port: 53
         protocol: TCP

   Führe den Befehl apply aus, um das Netzwerkrichtlinienobjekt aus der YAML-Datei zu instanziieren:

   $ kubectl apply -f deny-egress-external.yaml

2. Ein Pod, der nicht mit der Label-Auswahl der Netzwerkrichtlinie übereinstimmt, kann eine URL außerhalb des Clusters aufrufen. In diesem Fall lautet die Label-Zuweisung app=frontend:

   $ kubectl run web --image=busybox:1.36.0 -l app=frontend --port=80 -it \
     --rm --restart=Never -- wget http://google.com --timeout=5 --tries=1
   Connecting to google.com (142.250.69.238:80)
   Connecting to www.google.com (142.250.72.4:80)
   saving to /'index.html'
   index.html           100% |**| 13987 \
   0:00:00 ETA
   /'index.html' saved
   pod "web" deleted

3. Ein Pod, der mit der Labelauswahl der Netzwerkrichtlinie übereinstimmt, kann keine URL außerhalb ...