Azure Kubernetes Service Cluster Admin Role + Contributor

AKS Cluster Admin Role concede as credenciais de administrador do cluster Kubernetes (controle total sobre workloads/orquestração). Contributor concede controle total sobre a infraestrutura Azure ao redor (rede, discos, load balancers). Juntas, a mesma identidade controla tanto o que roda dentro do cluster quanto a infraestrutura que o cluster usa, sem segregação entre times de plataforma e de infraestrutura.

Implantação de um workload malicioso no cluster combinada com reconfiguração da infraestrutura de rede ao redor (ex.: expor um serviço interno publicamente) sem revisão por um segundo time.

• Segregar administração de cluster AKS (times de plataforma/DevOps) da administração de infraestrutura Azure geral (Contributor).
• Usar Azure RBAC para Kubernetes Authorization em vez das credenciais de cluster admin sempre que possível, para granularidade e auditoria melhores.
• Auditar deployments no cluster correlacionados com mudanças de infraestrutura de rede na mesma janela de tempo.

• https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles
• https://learn.microsoft.com/en-us/azure/aks/concepts-identity