rbac-police

rbac-police RBAC 风险审计

补充说明

rbac-police 用策略即代码检查 Kubernetes RBAC 风险，例如通配符权限、敏感资源访问、匿名绑定、特权 ServiceAccount 和过宽的 ClusterRole。它适合在 CI 和集群巡检中发现提权路径。

核心概念：policy、rule、resource、context 和 severity。策略用 YAML/Rego 表达，输出 JSON、YAML 或表格。

语法

安装 CLI：

go install github.com/Permify/rbac-police@latest
rbac-police version

扫描当前集群：

rbac-police eval --output-format table

输出 JSON：

rbac-police eval --output-format json > rbac-report.json

指定 kubeconfig 和 context：

rbac-police eval --kubeconfig ~/.kube/config --context prod

使用自定义策略目录：

rbac-police eval --policies ./policies

策略示例：

cat > policies/wildcard.yaml <<'EOF'
apiVersion: rbac.police/v1
kind: Policy
metadata:
  name: wildcard-permissions
spec:
  severity: high
  rules:
  - verbs: ["*"]
    resources: ["*"]
    apiGroups: ["*"]
EOF

在 CI 中失败退出：

rbac-police eval --output-format json --fail-on high

注意

• 只扫描内置规则可能漏掉业务自定义的提权路径。
• * 权限在开发环境常见，生产要区分严重级别。
• 匿名用户和 system:unauthenticated 的绑定要重点检查。
• ServiceAccount 的 token 自动挂载会扩大攻击面，评估 automountServiceAccountToken。
• 聚合 ClusterRole 和 RoleBinding 的继承关系容易漏看。
• 扫描结果要结合业务上下文，不要直接删除所有高风险权限。
• CI 中固定策略版本，避免规则更新导致构建突然失败。
• 报告可能包含敏感资源名，注意访问权限。

相关命令

• rbac-police eval — 执行扫描
• kubectl auth can-i — 验证单个权限
• kubectl get clusterrole,role -A — 查看角色
• kubectl get clusterrolebinding,rolebinding -A — 查看绑定
• jq — 处理 JSON 报告

参考链接

• https://github.com/Permify/rbac-police
• https://kubernetes.io/docs/reference/access-authn-authz/rbac/
• https://kubernetes.io/docs/concepts/security/rbac-good-practices/