ответственность, доступ, конфигурацияresponsibility, access, configuration

Безопасность облачной инфраструктурыCloud Infrastructure Security

Shared responsibility model, IAM в облаке (роли vs пользователи), secrets management (Vault/KMS), network security groups, CSPM и детекция misconfiguration; отдельно — container/Kubernetes security (image scanning, pod security, network policies, секреты не в ConfigMap). Каркас: 12 карточек, страницы ещё не написаны.The shared responsibility model, cloud IAM (roles vs users), secrets management (Vault/KMS), network security groups, CSPM and misconfiguration detection; plus container/Kubernetes security (image scanning, pod security, network policies, secrets never in a ConfigMap). Skeleton: 12 cards, pages not yet written.

Модель ответственности и доступаResponsibility & access model

кто отвечает за чтоwho owns what

Shared responsibility modelЧто закрывает провайдер (физика, гипервизор, часто и ОС в managed-сервисах), а что остаётся на клиенте (конфигурация, данные, доступы) — разная граница для IaaS/PaaS/SaaS.What the provider covers (physical layer, hypervisor, often the OS in managed services) versus what stays on the customer (configuration, data, access) — the boundary shifts across IaaS/PaaS/SaaS.interview Cloud IAM: роли vs пользователиroles vs usersПочему временные роли с ограниченным сроком жизни предпочтительнее статических учётных записей с постоянными ключами; assume-role паттерн между аккаунтами.Why short-lived roles beat static accounts with standing keys; the assume-role pattern across accounts. Least privilege на уровне APIat the API levelГранулярные политики вместо wildcard-разрешений (*:*), почему одна избыточно широкая IAM-политика способна свести на нет остальную защиту.Granular policies instead of wildcard permissions (*:*), why one overly broad IAM policy can undo the rest of your defenses.

Секреты и конфигурацияSecrets & configuration

где хранить то, что нельзя терятьwhere to keep what must never leak

Secrets managementVault, облачные KMS/Secrets Manager: централизованное хранение, ротация, аудит доступа к секретам вместо разбросанных по проекту значений.Vault, cloud KMS/Secrets Manager: centralized storage, rotation, and access audit for secrets instead of values scattered across the project. Секреты вне переменных окруженияSecrets out of env varsПочему переменные окружения и конфиги в репозитории — плохое место для секретов: утечка через логи, дампы процессов, историю git.Why environment variables and repo configs are a poor place for secrets: leakage via logs, process dumps, git history. Network security groupsВиртуальные файрволы на уровне облачного ресурса: правила по умолчанию deny-all, разница между security group (stateful) и network ACL (stateless).Virtual firewalls at the cloud resource level: deny-all defaults, the difference between a security group (stateful) and a network ACL (stateless).

Обнаружение ошибок конфигурацииMisconfiguration detection

большинство инцидентов в облаке — не эксплойт, а ошибка настройкиmost cloud incidents are misconfiguration, not exploits

CSPMCloud Security Posture Management: непрерывное сканирование облачных ресурсов на соответствие baseline, автоматические алерты при дрейфе конфигурации.Cloud Security Posture Management: continuous scanning of cloud resources against a baseline, automated alerts on configuration drift. Типовые ошибки конфигурацииCommon misconfigurationsПубличные S3-бакеты, избыточно разрешительные IAM-политики, открытые административные порты — паттерны, которые повторяются из инцидента в инцидент.Public S3 buckets, overly permissive IAM policies, exposed admin ports — patterns that repeat across incident after incident.interview

Container/Kubernetes securityContainer/Kubernetes security

актуально для собственного k8s-on-Proxmox деплояrelevant for a self-hosted k8s-on-Proxmox deployment

Image scanningПроверка образов на известные уязвимости до попадания в registry, блокировка деплоя образов с критичными CVE в CI/CD-пайплайне.Scanning images for known vulnerabilities before they reach the registry, blocking deploys of images with critical CVEs in the CI/CD pipeline. Pod securityPod Security Standards, запрет privileged-контейнеров и root-пользователя по умолчанию, read-only файловая система там, где это возможно.Pod Security Standards, disallowing privileged containers and root-by-default, read-only filesystems wherever possible. Network policiesПравила трафика между namespace'ами и подами по умолчанию deny-all, явное разрешение только нужных связей — микросегментация внутри кластера.Traffic rules between namespaces and pods defaulting to deny-all, explicitly allowing only the connections that are needed — microsegmentation inside the cluster. Секреты не в ConfigMapSecrets never in a ConfigMapПочему ConfigMap — открытый текст без шифрования и контроля доступа, и как вместо этого использовать Kubernetes Secrets с интеграцией во внешний Vault/KMS.Why a ConfigMap is plaintext with no encryption or access control, and how to use Kubernetes Secrets integrated with an external Vault/KMS instead.

статусstatus

Это каркас: 12 карточек зафиксированы, страницы ещё не написаны.This is a skeleton: 12 cards are locked in, pages not yet written.