Un token di Kubernetes è una credenziale che consente a un workload, a uno script o a un utente di autenticarsi all'API di Kubernetes. In molti cluster è associato a un service account e può essere montato in un pod da un Secret, il che rende facile per le applicazioni usarlo senza accesso manuale.
Questi token sono importanti perché l'API di Kubernetes controlla deployment, secret, log e autorizzazioni in tutto il cluster. Se un malware, un container compromesso o un artefatto di build rubato acquisisce un token, l'attaccante può interrogare l'API, ispezionare le risorse o spingersi più a fondo nell'ambiente. I difensori riducono il rischio assegnando ai service account solo i privilegi minimi necessari, usando token a breve durata o vincolati quando possibile, limitando l'accesso ai Secret e ruotando le credenziali quando si sospetta un'esposizione. La scansione dei Secret e il monitoraggio del runtime possono anche aiutare a rilevare la fuga di token prima che si trasformi in una compromissione del cluster.