Kubeconfig è il file di configurazione che i client Kubernetes usano per connettersi ai cluster. Può definire uno o più cluster, utenti e contesti, e spesso memorizza materiale di autenticazione come certificati client, token bearer o impostazioni di accesso basate su exec. Strumenti come kubectl leggono il kubeconfig per decidere a quale cluster parlare e quale identità presentare.
In termini di sicurezza, un file kubeconfig è altamente sensibile perché chiunque lo ottenga può ottenere lo stesso accesso dell'utente legittimo, a volte includendo privilegi a livello di amministratore. Gli aggressori spesso cercano file kubeconfig sui laptop degli sviluppatori, sui runner CI/CD, su archivi condivisi, backup o container esposti per spostarsi lateralmente in un ambiente Kubernetes. I difensori dovrebbero trattare kubeconfig come un segreto: limitare i permessi del file, evitare di incorporare credenziali a lunga durata, usare token a breve durata quando possibile, ruotare l'accesso quando si sospetta un'esposizione e mantenere contesti separati per ambienti diversi.