Un cluster Kubernetes fonctionnel n’est pas automatiquement un cluster sécurisé. Par défaut, Kubernetes n’applique pas un durcissement suffisant pour la production : les pods peuvent souvent communiquer librement, les Secrets ne sont pas chiffrés au repos sans configuration dédiée, et des permissions trop larges accordées aux ServiceAccounts exposent rapidement des ressources sensibles.

Ce parcours vous guide pas à pas pour hardéniser vos clusters et couvre les 6 domaines de la certification CKS (Certified Kubernetes Security Specialist).

Prérequis

Pour profiter pleinement de ce parcours, vous devez déjà :

Comprendre les objets de base Kubernetes (Pods, Deployments, Services)
Savoir utiliser kubectl pour interagir avec un cluster
Connaître les bases de l’administration d’un cluster (kubeadm, etcd)

Formation Kubernetes complète Si vous débutez avec Kubernetes

Architecture Kubernetes Comprendre les composants d'un cluster

Par où commencer ?

Choisissez votre entrée selon votre objectif :

RBAC Kubernetes Contrôle d'accès basé sur les rôles, moindre privilège

Network Policies Pare-feu pod-to-pod, isolement réseau

Secrets Kubernetes Bonnes pratiques, chiffrement, rotation

Sécurité des conteneurs Vue d'ensemble images, clusters, runtime

Les grands thèmes du parcours

Ce pilier couvre 10 domaines de la sécurité Kubernetes. Les guides sont en cours de construction — le statut indique ce qui est disponible.

Bloc	Thème	Statut
A	Fondamentaux sécurité	À venir
B	Accès & identités (RBAC, ServiceAccounts)	Disponible
C	Workloads (Pod Security Standards, Security Context)	En cours
D	Réseau (Network Policies)	Disponible
E	Secrets & données sensibles	Disponible
F	Hardening cluster (kubelet, CIS Benchmark)	À venir
G	Policy & Admission (Kyverno, VAP)	À venir
H	Supply Chain (scanner, signer images)	À venir
I	Détection runtime (audit logs, Falco)	À venir
J	Checklists opérationnelles	À venir

Deux parcours recommandés

Sécuriser un cluster existant

Vous avez un cluster en production et voulez le durcir rapidement ?

Évaluer la posture actuelle

Exécutez un audit avec kube-bench pour identifier les failles de configuration selon le CIS Benchmark.
Restreindre les accès

Appliquez le principe du moindre privilège avec RBAC : limitez les permissions des ServiceAccounts et des utilisateurs.
Isoler le réseau

Déployez des Network Policies deny-all par défaut, puis autorisez explicitement les flux nécessaires.
Protéger les Secrets

Activez le chiffrement at-rest des Secrets dans etcd si ce n’est pas déjà fait.

Préparer la certification CKS

Vous visez la certification CKS ? Ce parcours couvre les 6 domaines de l’examen : hardening cluster, sécurité des workloads, supply chain, runtime, contrôle d’accès et audit.

Parcours CKS complet Domaines d'examen, stratégie, ressources

Comparatif CKA / CKAD / CKS Quelle certification pour quel profil ?

À retenir

La sécurité Kubernetes repose sur la défense en profondeur :

Identité : RBAC strict, ServiceAccounts dédiés, authentification forte
Workloads : Pod Security Standards, privileges minimaux
Réseau : Network Policies, segmentation, chiffrement TLS
Données : Secrets chiffrés au repos, rotation automatique
Détection : Audit logs activés, alerting configuré

Vous retrouverez dans ces guides des outils comme kube-bench, Trivy, Falco, Kyverno et Cosign, chacun remis dans son contexte d’usage.

Prochaines étapes

RBAC Kubernetes Premier guide recommandé — contrôle d'accès

Network Policies Isoler le trafic entre vos pods

Formation Kubernetes Retour au parcours principal

Sécurité des conteneurs Vue d'ensemble Docker et Kubernetes

Sécuriser Kubernetes : hardening, RBAC, Network Policies et CKS