/audit-security

/audit-security スキルは、過剰な権限を持つIDとワークロードを検索します。使用量を超えるアクセス権を持つ ServiceAccount、rootで実行されているまたはホストレベルのエスケープを持つPod、Namespaceスコープのロールで十分なところにクラスター全体の権限を付与するバインディングなどです。

引数なしで実行するとフルスイープ、ワークフロー名を指定するとレポートのスコープを絞り込めます。

/audit-security                    # full sweep
/audit-security rbac               # single workflow
/audit-security pods in kube-system

自然言語スコープ（Namespace、ラベルセレクター、ワークロード名）はすべてのワークフローでサポートされています（概要を参照）。

ワークフロー

1. RBAC

ソース：Kubernetes API。

2. Podセキュリティ

ソース：Kubernetes API、アップストリームのPod Security Standardsに対して評価。

3. SecretとServiceAccountトークン

ソース：Kubernetes API。

エージェントへの指示

ワークフローに加えて、スキルはエージェントにレポートの方法を指示します。

検出結果を影響範囲でランク付けします — クラスタースコープのワイルドカードをNamespaceスコープより上位に、ホストエスケープをseccompプロファイル欠如より上位にします。
RBACチェックは静的であることを明示します：Role が付与するものを検索するのであり、サブジェクトが実際に使用するものではありません。真に未使用の権限を検出するには監査ログ分析が必要ですが、このスキルは実行しません。
Secret オブジェクトは名前、Namespace、タイプのみで参照し、内容を読み取ったり表示したりしません。
問題のある動詞やフラグの名前を挙げるだけでなく、検出結果が重要な理由（その権限が何を可能にするか）を1行で説明します。
特定のワークロードについては /investigate に、mTLSとメッシュポスチャー（Podセキュリティに隣接）については /audit-network に渡します。