Ein Secret-Manifest in git ist nur base64-kodiert, und ein einziger privilegierter Container kann seinen Node übernehmen. Dieser Skill findet solche Probleme und neun weitere riskante Einstellungen in Ihren Kubernetes-Manifesten und erklärt, wie Sie jede davon beheben.

Ihr Agent lässt einen Scanner über Ihre YAML-Manifeste laufen: Deployments, StatefulSets, DaemonSets, Jobs, CronJobs, Pods, Services und Secrets, einschließlich Init-Containern, kind: List-Dateien und Dateien mit mehreren Dokumenten. Das Ergebnis lautet BLOCK, REVIEW oder NOT FLAGGED, jeweils mit Datei, Zeile, Begründung und einer sichereren Alternative. Secret-Werte werden nie ausgegeben.

Was geprüft wird

BLOCK (vor dem Release beheben)

• K01: ein privilegierter Container

• K02: ein Passwort, Token oder Schlüssel als Klartextwert in env

• K03: ein Secret-Manifest mit echten data- oder stringData-Werten

• K04: ein hostPath-Mount des Container-Runtime-Sockets oder des Root-Verzeichnisses des Nodes

REVIEW (vor der Veröffentlichung prüfen)

• K11: ein Image ohne Tag oder mit :latest

• K12: hostNetwork, hostPID oder hostIPC

• K13: ein Container, der möglicherweise als root läuft

• K14: gefährliche Capabilities wie SYS_ADMIN oder ALL

• K15: ein hostPath-Mount eines Systemordners des Nodes

• K16: kein Speicherlimit

• K17: ein Datenbank-Port, der über LoadBalancer oder NodePort erreichbar ist

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Begründung und sichererer Alternative für jede Regel

• Ein riskantes und ein sicheres Beispielmanifest sowie der echte Bericht, den der Scanner für das riskante erzeugt

Grenzen

Er liest YAML-Text. Er rendert keine Helm-Templates oder Kustomize-Overlays und kann weder Admission Policies noch das sehen, was tatsächlich im Cluster läuft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 8 Dateien: SKILL.md, der Scanner in scripts/ (3 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererer Alternative) und examples/ (2 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

So wird es verwendet: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten dann, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und es wird nichts irgendwohin gesendet.