Kubernetes에서 RBAC(Role-Based Access Control)는 클러스터의 보안을 강화하고, 사용자 및 서비스 계정에 대한 권한을 세밀하게 관리할 수 있도록 돕는 중요한 기능입니다. 그러나 이를 올바르게 구성하지 않으면 보안 취약점이 발생할 수 있습니다. 이번 포스팅에서는 Kubernetes에서 흔히 저지르는 RBAC 실수와 그 해결 방안에 대해 살펴보겠습니다.

1. 모든 권한을 가진 ClusterRole 사용

많은 사용자가 특정 작업을 수행하기 위해 ClusterRole을 생성할 때, 너무 많은 권한을 부여하여 보안을 위협하는 경우가 많습니다. 예를 들어, 모든 네임스페이스에 대한 get, list, watch 권한을 가진 ClusterRole을 정의할 수 있습니다.

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: admin-role
rules:
- apiGroups: [""]
  resources: ["pods", "services"]
  verbs: ["*"]  # 모든 권한 부여

해결 방안

일반적으로 필요한 최소한의 권한만 부여하는 것이 좋습니다. 필요한 경우, Role을 활용하여 특정 네임스페이스에만 권한을 부여하도록 설정합니다.

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: your-namespace
  name: limited-role
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list"]

2. 역할과 사용자 혼동

RBAC을 설정할 때, 역할(Role)과 사용자(User)를 혼동하는 경우가 많습니다. 사용자 계정에 직접 RBAC을 적용하지 않고, 서비스 계정(Service Account)을 사용해야 할 때가 있습니다.

해결 방안

정확한 역할 부여를 위해, 사용자 계정과 서비스 계정을 명확하게 구분합니다. 서비스 계정은 애플리케이션이 API 서버와 상호작용할 때 사용되며, 사용자 계정은 사용자 접근 제어에 사용됩니다.

3. 네임스페이스 무시

RBAC을 설정하는 과정에서 네임스페이스를 고려하지 않는 경우가 많습니다. 모든 리소스에 대해 권한을 부여할 경우, 의도하지 않은 리소스 접근이 발생할 수 있습니다.

해결 방안

각 네임스페이스에 대해 별도의 Role을 설정하고, 필요한 리소스에 대해서만 권한을 부여하는 것이 바람직합니다. 예를 들어, dev라는 네임스페이스에 대한 Role은 다음과 같이 설정할 수 있습니다.

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: dev
  name: dev-role
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list", "create"]

4. RBAC 설정 후 검증 부족

RBAC 설정 후, 권한이 제대로 적용되었는지 검증하지 않는 경우가 많습니다. 이로 인해 의도한 대로 권한이 작동하지 않을 수 있습니다.

해결 방안

Kubernetes는 kubectl auth can-i 명령어를 제공하여 사용자가 특정 작업을 수행할 수 있는지 확인할 수 있습니다. 이를 통해 권한이 제대로 설정되었는지 검증할 수 있습니다.

kubectl auth can-i get pods --as=your-user

5. 로그 검토 소홀

RBAC 설정 후, 로그를 리뷰하지 않으면 보안 문제를 사전에 발견하지 못할 수 있습니다. Kubernetes는 RBAC 관련 이벤트를 로그로 남깁니다.

해결 방안

정기적으로 Kubernetes API 서버의 로그를 검토하여 비정상적인 접근이나 권한 요청을 모니터링합니다. 이를 통해 이상 징후를 조기에 발견하고 대응할 수 있습니다.

마무리

Kubernetes에서의 RBAC 설정은 보안을 강화하는 중요한 요소입니다. 그러나 잘못된 설정은 오히려 보안 취약점을 초래할 수 있습니다. 위에서 제시한 흔히 저지르는 실수와 해결 방안을 참고하여, 보다 안전하고 효율적인 RBAC 설정을 할 수 있길 바랍니다. 클러스터에서의 보안을 위해 항상 최소 권한 원칙을 준수하고, 정기적으로 검토하는 습관을 갖는 것이 중요합니다.