DongHyeonkaandClaude Opus 5
027c24ee27
Every secret in the lab prints in four commands, while kubectl describe shows just a byte count and creates the impression that something is hidden. k3s reports encryption at rest disabled and the plaintext password is present in state.db, so one node disk carries the whole cluster's secrets, and inside the pod they are ordinary environment variables visible to exec, /proc and crash dumps. The default service account cannot read secrets, which makes RBAC the one control doing real work here and the thing worth tightening. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
24 lines
890 B
Plaintext
24 lines
890 B
Plaintext
=== k3s 의 데이터 저장소 ===
|
|
Encryption Status: Disabled, no configuration file found
|
|
|
|
=== 저장 파일 ===
|
|
total 23336
|
|
drwx------ 2 root root 4096 Sep 2 09:12 .
|
|
drwx------ 8 root root 4096 Sep 4 03:23 ..
|
|
-rw-r--r-- 1 root root 13078528 Sep 4 06:05 state.db
|
|
-rw-r--r-- 1 root root 32768 Sep 4 06:06 state.db-shm
|
|
-rw-r--r-- 1 root root 10769712 Sep 4 06:06 state.db-wal
|
|
|
|
=== ★ 저장 파일에서 비밀번호가 그대로 보이는가 ===
|
|
state.db 안의 평문 일치: 2
|
|
=== 평문이 저장 파일에 있다는 것을 눈으로 ===
|
|
client secret 평문 등장 횟수: 0
|
|
|
|
=== 누가 Secret 을 읽을 수 있는가 ===
|
|
default SA: no
|
|
(Role 이 없으면 네임스페이스에 별도 제한이 없다는 뜻)
|
|
|
|
=== 파드 안에서는 어떻게 보이는가 ===
|
|
KEYCLOAK_CLIENT_SECRET=bff-lab-secret
|
|
BFF_DB_PASSWORD=lab-postgres-change-me
|