見出し画像

KubernetesのSecretをハッキングする3つの裏技？

toshi

「KubernetesのSecretって、どこにあって何が入っているんだろう？」
普段は見えないそれに、興味を惹かれることはありませんか？Secretは、大事なデータを保護する仕組みですが、システム調査やトラブル対応では中身を確認する必要が出てくることもあります。ただし、普通の方法ではアクセスできない、まるで厳重にロックされた金庫のような存在です。

今回は、その「金庫」を開ける3つの裏技をご紹介します。ただし、正当な理由があり適切な権限を持つ場合に限ります！さて、どの方法があなたの環境に役立つでしょうか？

1. PodのVolumeからSecretを探る

PodがマウントしているVolumeを調べることで、Secretの内容にアクセスできる場合があります。もしPodがSecretを利用しているなら、その情報はファイルとして展開されている可能性があります。

実践手順

(1) Pod情報を取得する
ターゲットPodのYAML情報を取得：

kubectl get pod my-pod -o yaml

(2) Volume設定を確認する
YAMLファイル内のvolumesセクションを確認し、Secretが設定されている箇所を探します：

volumes:
- name: my-secret-volume
  secret:
    secretName: my-secret

(3) マウントされたディレクトリを確認
volumeMountsセクションでマウント先ディレクトリを特定：

volumeMounts:
- mountPath: /etc/my-secret
  name: my-secret-volume

(4) 中身を確認
マウントされたディレクトリの内容を直接確認します：

kubectl exec -it my-pod -- cat /etc/my-secret/<file-name>

ポイント

この方法はシンプルで、PodがSecretをVolumeとして利用している場合には有効です。ただし、Secretがマウントされていない場合には使えません。

2. Podの環境変数をチェックする

場合によっては、PodがSecretの値を環境変数として利用していることがあります。この場合、環境変数を確認することでSecretの中身が見えることがあります。

実践手順

(1) 環境変数の設定を確認
PodのYAML情報を取得：

kubectl get pod my-pod -o yaml

(2) 環境変数セクションを探る
YAML内のenvセクションに、Secretの値を参照する設定がないか確認します：

env:
- name: MY_SECRET_KEY
  valueFrom:
    secretKeyRef:
      name: my-secret
      key: secret-key

(3) 環境変数の値を取得
Pod内で環境変数の内容を確認します：

kubectl exec -it my-pod -- printenv MY_SECRET_KEY

ポイント

環境変数を利用している場合には、設定されているSecretのキーを簡単に取得できます。しかし、設定内容によっては環境変数が使われていない場合もあります。

3. ServiceAccountトークンを使ってAPIから取得する

少し高度な方法ですが、ServiceAccountのトークンを使い、Kubernetes APIを直接操作することでSecretを確認できます。

実践手順

(1) ServiceAccountのトークンを取得する
Pod内のトークンファイルを確認：

kubectl exec -it my-pod -- cat /var/run/secrets/kubernetes.io/serviceaccount/token

(2) APIリクエストを送信する
トークンを使用してAPIにアクセス：

curl -k -H "Authorization: Bearer <TOKEN>" https://<KUBERNETES_API_SERVER>/api/v1/namespaces/<NAMESPACE>/secrets

(3) レスポンスを解析する
APIのレスポンスからSecretの情報を取得します。以下はjqを使った例：

curl -k -H "Authorization: Bearer <TOKEN>" https://<KUBERNETES_API_SERVER>/api/v1/namespaces/<NAMESPACE>/secrets | jq .

ポイント

APIにアクセスする方法は強力ですが、使用するServiceAccountの権限に依存します。必要な権限がなければデータにアクセスできません。

まとめ

今回紹介した3つの方法を振り返ってみましょう：

  1. PodのVolumeを確認する方法
    シンプルで、設定にSecretが含まれている場合には確実に有効。

  2. 環境変数から取得する方法
    手軽に確認できるが、設定内容に依存する。

  3. APIを直接操作する方法
    少し手間がかかるが、システム全体の構造を深く理解できる。

ただし、これらすべての方法には前提条件があります。それは、「Kubernetesの操作はすべてAPIサーバー（kube-apiserver）を通じて行われる」ということ。

APIサーバーにアクセスできない環境では、どんな手法も無力です。
クラスタと通信できる状態が確保されていることが、このような調査を行う大前提です。これを理解していないと、いくらテクニックを覚えても意味がありません。

セキュリティや権限管理に注意を払いながら、適切な環境でこれらの方法を活用してください。正しい知識と環境を揃えてこそ、トラブル解決の道が開けます！

いいなと思ったら応援しよう！