5.4Cloud et DevSecOpsschéma 31

Kubernetes — contrôles du cluster

Exemple durci ; le plugin réseau doit appliquer les NetworkPolicy et l’accès des pods aux métadonnées est filtré.

Faire défiler le schéma →

Kubernetes — contrôles du clusterLe pipeline CI/CD remet son manifeste au serveur d’API, qui le soumet à l’admission, mise en avant (signature, profil restricted), avant d’écrire l’état dans etcd ; l’espace de noms A reçoit l’état déclaré du serveur d’API et ses images du registre privé, est hébergé par les nœuds et n’atteint l’espace de noms B qu’à travers la politique réseau ; son accès aux métadonnées cloud est refusé. PLAN DE CONTRÔLECHARGES DE TRAVAIL MANIFESTEÉTATÉTAT DÉCLARÉACCÈS REFUSÉHÉBERGE SLSAPipeline CI/CDimage signée, SBOM RBACServeur d’APIauthentification, RBAC, audit PSAAdmissionsignature, profil restricted etcdchiffrement KMS configuré Registre privéimages par empreinte Espace de noms Apods restricted, compte dédié NetworkPolicyPolitique réseaurefus par défaut, flux déclarés IMDSMétadonnées cloudidentité du nœud Nœudssystème minimal, sans SSH Espace de noms Bn’accepte que les flux déclarés LÉGENDEfluxétat déclaré, hébergementaccès refuséadmission entre API et exécution