Kubernetes kabul denetleyicileri, bir isteğin kimlik doğrulama ve yetkilendirmeyi geçtikten sonra, kümenin kalıcı durumuna yazılmadan hemen önce devreye giren ve isteği kabul eden, değiştiren ya da reddeden bileşenlerdir. Bu aşama, API sunucusunun boru hattında politikaların uygulanabileceği son duraktır; bir nesne buradan geçtikten sonra artık kümede yaşamaya başlar.

Kabul denetleyicisi, kümenin kapısındaki son kontrol noktasıdır: kayda geçmeden önce her nesneyi kurumsal politikaya uyacak şekilde ya düzeltir ya da geri çevirir.

İki Tür Denetim

Denetleyiciler iki aşamada çalışır. Değiştiren (mutating) denetleyiciler nesneyi işlemden geçirir; örneğin bir pod’a eksik güvenlik bağlamını ya da bir yan konteyneri ekleyebilir. Doğrulayan (validating) denetleyiciler ise nesneyi yalnızca kabul veya ret kararıyla değerlendirir. İkisinin birlikte kullanımı, hem otomatik düzeltme hem de katı kural dayatma imkânı verir.

Neyi Engeller?

Yaygın bir kullanım, ayrıcalıklı çalışmak isteyen, ana makine ad alanlarını paylaşan ya da kök kullanıcı olarak başlatılan konteynerleri reddetmektir. Bu tür kısıtlar, bir iş yükünün ihtiyacından fazla yetki almasını engelleyerek En az yetki ilkesi ni dağıtım anında zorunlu kılar. Politikanın dokümanda değil, kabul aşamasında yaşaması, kuralın atlanmasını neredeyse imkânsız hale getirir.

Kabul denetimi, RBAC yapılandırmalarını tamamlayan bir savunma katmanıdır. Yetkilendirme kimin ne yapabileceğini belirlerken, kabul denetleyicileri o eylemin ürettiği nesnenin biçimini denetler. Bu ikili, Kubernetes RBAC yetki yükseltme senaryolarında saldırganın izin verilse bile tehlikeli bir nesne oluşturmasını sınırlar.

Dış Politika Motorları

Yerleşik denetleyicilerin ötesinde, web kancası tabanlı denetleyiciler kümeyi harici bir politika motoruna bağlar. Bu yaklaşım, kurumun kendi kurallarını kod olarak yazıp merkezî biçimde uygulamasına olanak tanır ve daha geniş Kubernetes güvenliği duruşunun otomasyon omurgasını kurar. Kural setinin sürüm kontrolünde tutulması, politikaların denetlenebilir ve tekrarlanabilir olmasını sağlar.

Uygulamada Dikkat

Web kancası tabanlı bir denetleyici erişilemez hale geldiğinde, yapılandırmaya göre kümeye tüm istekleri durdurabilir ya da tam tersine kontrolsüz geçirebilir; bu yüzden erişilemezlik davranışının bilinçle seçilmesi gerekir. Denetleyicilerin kapsamının, açık-kapalı davranışının ve genel imaj güvenliğiyle ilişkisinin gözden geçirilmesi, tıpkı Konteyner güvenliği kontrollerinin doğrulanması gibi, altyapı ve mimari gözden geçirme kapsamında ele alınması gereken bir konudur.