Recursos Avançados e Segurança

WebAssembly (Wasm) no Kubernetes

Graças à CRI plugável, o Kubernetes não se limita a contêineres Linux tradicionais: ele também orquestra módulos WebAssembly (Wasm) ultraleves lado a lado no mesmo cluster. O fluxo para rodar um app Wasm via containerd segue sete passos:

1. Compilar o código como binário Wasm.
2. Empacotar o binário como imagem OCI e publicar em um registry.
3. Instalar o shim Wasm (ex.: Spin / containerd-wasm-shims) em um ou mais nós e rotular esses nós.
4. Criar uma RuntimeClass apontando para o shim e os labels dos nós.
5. Definir o Pod com a imagem OCI Wasm e referenciar spec.runtimeClassName.
6. O Scheduler envia o Pod ao nó rotulado e o kubelet repassa a execução ao containerd com o shim Wasm.

Segurança da API: Autenticação, Autorização & RBAC

Toda ação no Kubernetes (como kubectl apply) vira uma requisição HTTPS/TLS para o API Server e precisa vencer três portões em ordem estrita:

• 1. Autenticação (AuthN): confirma quem é o usuário (certificados X.509 assinados pela CA do cluster, tokens ou OIDC).
• 2. Autorização (AuthZ): verifica se o usuário autenticado pode executar aquela operação naquele recurso e Namespace. Em produção, combina-se o autorizador RBAC com o autorizador Node.
• 3. Admission Control: valida e aplica políticas sobre o objeto antes de persistir no etcd.

A API do Kubernetes, Versionamento & Extensões

No livro, Nigel Poulton compara a API do Kubernetes ao catálogo da Amazon: se um recurso não existe na API, você não consegue implantá-lo no cluster. Cada recurso possui propriedades configuráveis (como metadata, restartPolicy, serviceAccountName, runtimeClassName, containers e volumes).

• Planejando upgrades sem surpresas: monitore avisos de depreciação na CLI, consulte audit logs e acompanhe a métrica apiserver_requested_deprecated_apis antes de atualizar a versão do cluster.
• Estendendo o Kubernetes: é possível adicionar recursos próprios (Custom Resources / CRDs) e controladores customizados — exatamente como drivers CSI e operadores de banco de dados expõem recursos avançados nativamente na API.

kubectl api-resources
kubectl explain pod.spec.automountServiceAccountToken
kubectl auth can-i get deployments -n shield --as=sky

Modelagem de Ameaças com STRIDE

Nos capítulos finais escritos com Pushkar Joglekar, o foco muda para engenharia de segurança sistemática com o modelo STRIDE:

Segurança no Mundo Real & Cadeia de Suprimentos

Em ambientes corporativos, segurança eficaz precisa ter baixo atrito para que desenvolvedores não tentem contornar as regras:

• Imagens base aprovadas: mantenha um conjunto enxuto de imagens base oficiais e validadas (com drivers padrão, patches conhecidos, auditoria configurada e varredura contínua de vulnerabilidades) em vez de imagens comunitárias aleatórias.
• Menor privilégio contínuo: combine RBAC granular, isolamento de rede com NetworkPolicies e revisões periódicas de permissões e APIs depreciadas.

Laboratório Guiado: Role, RoleBinding & Pod Seguro

Abaixo estão os manifestos baseados diretamente nos exemplos do livro: uma Role + RoleBinding de leitura no Namespace shield para a usuária sky, e um Pod com montagem de token desativada.

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: shield
  name: read-deployments
rules:
- verbs: ["get", "watch", "list"]
  apiGroups: ["apps"]
  resources: ["deployments"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-deployments
  namespace: shield
subjects:
- kind: User
  name: sky
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: read-deployments
  apiGroup: rbac.authorization.k8s.io

apiVersion: v1
kind: Pod
metadata:
  name: secure-app-pod
spec:
  automountServiceAccountToken: false
  containers:
  - name: app
    image: nginx:1.27-alpine