competition-k8s-control-plane

競技用 K8s コントロールプレーン

このスキルは、$ctf-sandbox-orchestrator がすでにアクティブで、サンドボックスの前提、ノードの所有権、エビデンスの優先順位を確立した後にのみ、下流の専門分野として使用してください。まだそれが行われていない場合は、まず $ctf-sandbox-orchestrator に戻ってください。

決定的な経路が、単一コンテナのランタイムだけではなく、Kubernetes コントロールプレーンの状態、API 権限、またはコントローラーの動作を経由する場合に、このスキルを使用してください。

ユーザーが明示的に英語を要求しない限り、簡体字中国語で返信してください。

クイックスタート

1. マニフェストの意図とライブクラスターの状態を分離します。API オブジェクト、変更、コントローラー、シークレット、および結果として生じるワークロードです。
2. まずアクティブなプリンシパルを特定します。サービスアカウント、kubeconfig のアイデンティティ、ノードのクレデンシャル、Webhook、またはコントローラーです。
3. 最小のコントロールプレーンのエッジを、そのワークロードへの影響にマッピングします。
4. RBAC、サービスアカウント、オーナー参照、名前空間の境界、シークレットのコンシューマーを、コンパクトなエビデンスブロックにまとめます。
5. 決定的なワークロードまたはシークレットの効果をもたらす最小のクラスターアクションを再現します。

ワークフロー

1. API トラストパスをマッピングする

• 名前空間、サービスアカウント、Role、ClusterRole、バインディング、アドミッションフック、コントローラー、およびそれらが変更できるリソースを記録します。
• 読み取りアクセス、作成アクセス、パッチアクセス、exec アクセス、シークレットアクセスを区別します。
• プリンシパル、verb、リソース、名前空間、および結果として生じるオブジェクトを 1 つのチェーンにまとめます。

2. 変更をワークロードの状態までトレースする

• API アクションがどのようにして Pod、ボリュームマウント、シークレットの露出、env 注入、ジョブ実行、またはコントローラーが作成したアーティファクトになるかを示します。
• チェックインされた YAML と、デフォルト適用、アドミッション変更、またはコントローラーの調整後のライブオブジェクトを比較します。
• Pod ランタイムの動作と、クラスターレベルの変更ロジックを区別します。

3. 決定的なクラスターパスまで絞り込む

• 結果を最小のチェーンに圧縮します。プリンシパル -> API 権限 -> 変更されたオブジェクト -> 結果として生じるワークロード、シークレット、またはルートへの影響です。
• kube オブジェクト、ライブの describe、および消費されたシークレットまたは設定パスを、同じ名前空間とコントローラーに結び付けます。
• 問題が 1 つのコンテナのマウントまたはランタイムの逸脱に絞り込まれる場合は、より厳密なコンテナランタイムスキルに戻ってください。

このリファレンスを読む

• RBAC チェックリスト、コントローラーチェックリスト、およびエビデンスのパッケージングのために、references/k8s-control-plane.md を読み込んでください。
• 難しい部分がメタデータサービスの到達可能性、ワークロードアイデンティティ、インスタンスクレデンシャル、またはメタデータ由来の権限である場合は、$competition-cloud-metadata-path を優先してください。

保持すべきもの

• 名前空間、サービスアカウント、verb、リソース種別、RoleBinding または ClusterRoleBinding、およびオーナー参照チェーン
• アドミッション変更、生成されたワークロード、マウントされたシークレット、およびコントローラーが生み出すドリフト
• 決定的な効果を生み出す正確な API アクションまたはオブジェクトの差分