Kubernetes è potente e insicuro per default – la configurazione permissiva iniziale va stretta a più livelli:
- Pod Security Standards (PSS) – i tre profili (privileged, baseline, restricted) che limitano cosa un pod può fare:
restrictedvieta i container privilegiati, il root, gli host mount pericolosi. Vanno imposti, non lasciati aperti - Network Policy – di default in K8s ogni pod può parlare con ogni pod: le NetworkPolicy applicano la segmentazione (default-deny, poi apri il necessario) – fondamentale per contenere un pod compromesso
- RBAC stretto sugli account di servizio (minimo privilegio: un pod non ha bisogno di poteri sul cluster), niente token montati dove non servono
- immagini e runtime – le stesse regole della sicurezza dei container: immagini scansionate e pinnate, non-root, secret gestiti bene; e admission controller (OPA/Kyverno) come policy-as-code
- isolamento del carico – namespace come confine base, e per multi-tenancy seria, runtime isolati (gVisor, Kata)
Il CIS Kubernetes Benchmark è la baseline di riferimento per verificare tutto. La verità pragmatica: K8s aggiunge enorme superficie di attacco e complessità – per un homelab o una PMI, spesso Docker Compose su una VM fa lo stesso lavoro con un decimo del rischio. K8s ha senso quando la scala lo giustifica davvero; adottarlo "perché è moderno" è aggiungere un intero dominio di sicurezza da presidiare.