K8s: Managing Role-based Access Control

Eğitim Hakkında

Kimlik doğrulama, yetkilendirme ve politika katmanlarının birlikte yönetimi

Eğitim, Role/ClusterRole kuralları, binding türleri, CertificateSigningRequest ile kullanıcı sertifikası üretimi, ServiceAccount token'ları ve kubectl auth can-i doğrulamalarını işler. Pod Security Admission ve Kyverno ile RBAC'ı tamamlayan politika katmanı kurulur. Program boyunca Kontrol Düzlemi ve Düğüm Mimarisi, Secret Türleri ve Güvenli Kullanımı ve Çok Kiracılı Küme ve Maliyet Yönetimi modülleri uygulamalı işlenir.

Süre ve Format

3 Gün. Her gün dört modül; Kimlik Doğrulama ve Yetkilendirme Modeli, RBAC Kaynakları, Politika ve Denetim başlıklarında ilerler; her modülde altı teknik konu ve laboratuvar çalışması yer alır.

Seviye

Orta Seviye — Role, ClusterRole, binding, ServiceAccount ve kullanıcı sertifikası yönetimi.

Öğrenme Metodu

Her modül çok düğümlü laboratuvar kümesinde canlı komutlarla, kasıtlı arıza senaryoları ve kontrol listeleriyle işlenir.

Neden Bu Eğitim?

🛠️Operasyonel Pratik

Gerçek küme komutlarıyla çalışırsınız; RBAC ve erişim yönetimi konusunda günlük işletimde karşılaşılan senaryoları kendi elinizle çözersiniz.

🔍Sistematik Teşhis

Hata belirtisinden kök nedene giden adımları (events, loglar, bileşen durumu) bir kontrol listesi olarak edinirsiniz.

🛡️Üretime Hazır Yaklaşım

En az yetki, yedekleme ve izleme gibi üretim ilkelerini her laboratuvarda uygulayarak alışkanlığa dönüştürürsünüz.

Anahtar Konular

kubernetes administrator: managing role-based access controlkubernetes eğitimiRBAC ve erişim yönetimikubectl eğitimikubernetes kursukubernetes sertifika programıcontainer orkestrasyon eğitimidevops kubernetes eğitimiküme mimarisi kubernetesçok kiracılılık kubernetes

“Kubernetes'te ustalık, komutları ezberlemek değil, sistemin neden öyle davrandığını bilmektir.”

Ön Koşullar

Eğitimden verim almak için faydalı olacak bilgi ve ortam gereksinimleri

1

Kubernetes Temelleri

Pod, Deployment ve Service nesnelerini kubectl ile kullanmış olmak.

2

Linux Yönetimi

systemd, journalctl ve metin tabanlı yapılandırma dosyalarıyla rahat çalışmak.

3

YAML ve Konteynerler

YAML manifest yazımı ve imaj/registry kavramlarını bilmek.

4

Laboratuvar Ortamı

SSH erişimi olan bir bilgisayar; uygulama kümeleri eğitim ortamında sağlanır.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcı, küme mimarisi, api mekanizması, kubectl pratiği ve nesne modeli başlıklarını laboratuvar uygulamalarıyla işleyerek günün konularında bağımsız çalışabilir hale gelir.

Modül 1

Kontrol Düzlemi ve Düğüm Mimarisi

kube-apiserver'ın kimlik doğrulama, yetkilendirme ve admission zinciri ile REST isteklerini işleyişi
etcd'nin Raft tabanlı tutarlılık modeli, quorum mantığı ve küme durumunun saklanması
kube-scheduler'ın filtreleme (predicates) ve puanlama (priorities) aşamalarıyla Pod yerleştirmesi
kube-controller-manager içindeki döngüler: Node, ReplicaSet, Endpoints ve ServiceAccount controller'ları
Worker düğümde kubelet, kube-proxy ve container runtime'ın (containerd) görev dağılımı
Bir 'kubectl apply' isteğinin API'den Pod'un çalışmasına kadar izlediği uçtan uca yol

Modül 2

Kubernetes API Mekanizması

API grupları, kaynak/alt kaynak (status, scale, log, exec) ve REST uç noktaları
kubectl proxy ve doğrudan curl ile API çağrıları, kubectl get --raw
resourceVersion, optimistic concurrency ve watch/list mekanizması
Server-side apply, managedFields ve çakışma çözümü
API Priority and Fairness (APF) ile istek önceliklendirme
client-go temelli informer ve workqueue mantığı

Modül 3

kubectl, kubeconfig ve Bildirimsel Yönetim

kubeconfig yapısı: cluster, user, context alanları ve KUBECONFIG ile çoklu küme yönetimi
kubectl get/describe/explain/api-resources ile kaynak keşfi ve -o jsonpath, custom-columns çıktıları
Emir kipli (run, create) ve bildirimsel (apply) yönetim farkı; server-side apply ve field manager
-dry-run=client -o yaml ile manifest iskeleti üretme ve kubectl diff ile değişiklik önizleme
kubectl alias, completion ve kubectx/kubens ile sınav ve günlük çalışma hızlandırma teknikleri
kubectl edit, patch (strategic merge, JSON patch) ve replace --force kullanım senaryoları

Modül 4

Nesne Modeli: Namespace, Label ve Selector

Kubernetes nesnesinin apiVersion, kind, metadata, spec ve status alanlarının anlamı
Namespace'lerle mantıksal izolasyon, varsayılan namespace'ler (kube-system, kube-public) ve kapsam dışı kaynaklar
Label ve annotation ayrımı, önerilen app.kubernetes.io/* etiket seti
Equality-based ve set-based selector ifadeleri (in, notin, exists) ile kaynak seçimi
ownerReferences, garbage collection ve finalizer mekanizması ile silme davranışı
API grupları, sürümleri (v1, apps/v1, batch/v1) ve deprecation politikası

Günün hedefiKatılımcı, rbac yetkilendirme, serviceaccount, secret yönetimi ve admission kontrolü başlıklarını laboratuvar uygulamalarıyla işleyerek günün konularında bağımsız çalışabilir hale gelir.

Modül 1

RBAC: Role, ClusterRole ve Binding

Role/ClusterRole kuralları: apiGroups, resources, resourceNames ve verbs alanları
RoleBinding ve ClusterRoleBinding farkı; ClusterRole'ün RoleBinding ile namespace'e daraltılması
Subject türleri: User, Group ve ServiceAccount; X.509 sertifika tabanlı kullanıcı oluşturma
CertificateSigningRequest ile kullanıcı sertifikası onaylama ve kubeconfig üretme
kubectl auth can-i --as ve auth whoami ile yetki doğrulama
Aggregated ClusterRole'ler, escalate/bind kısıtları ve aşırı yetkili cluster-admin riskleri

Modül 2

ServiceAccount ve Pod Kimliği

Varsayılan ServiceAccount ve automountServiceAccountToken: false ile gereksiz token'ın kaldırılması
Projected ServiceAccount token'ları: audience, expirationSeconds ve TokenRequest API
kubectl create token ile kısa ömürlü token üretimi
Pod'dan API'ye in-cluster erişim: CA, token ve KUBERNETES_SERVICE_HOST
Bulutta IRSA, Workload Identity ve Azure AD Workload Identity eşlemeleri
Uygulama başına ayrı ServiceAccount ve minimum RBAC tasarımı

Modül 3

Secret Türleri ve Güvenli Kullanımı

Opaque, kubernetes.io/tls, dockerconfigjson ve service-account-token Secret türleri
base64 kodlamanın şifreleme olmadığı gerçeği ve stringData alanının kullanımı
Secret'ın env ve volume olarak tüketimi; tmpfs üzerinde bağlanma davranışı
imagePullSecrets ile özel registry'den imaj çekme yapılandırması
etcd'de EncryptionConfiguration ile at-rest şifreleme (aescbc, kms v2) ve anahtar rotasyonu
External Secrets Operator, Sealed Secrets ve Secrets Store CSI Driver'a genel bakış

Modül 4

Admission Controller ve Webhook'lar

Mutating ve Validating admission aşamaları ve isteğin değerlendirme sırası
Yerleşik admission plugin'leri: LimitRanger, ResourceQuota, NamespaceLifecycle, PodSecurity
ValidatingWebhookConfiguration ve MutatingWebhookConfiguration alanları: failurePolicy, namespaceSelector
ValidatingAdmissionPolicy ve CEL ifadeleri ile webhook'suz doğrulama
Webhook sertifika yönetimi ve cert-manager caBundle enjeksiyonu
Webhook kaynaklı küme kilitlenmelerinin önlenmesi ve kurtarılması

Günün hedefiKatılımcı, pod güvenliği, politika motorları, log mekanizması ve çok kiracılılık başlıklarını laboratuvar uygulamalarıyla işleyerek günün konularında bağımsız çalışabilir hale gelir.

Modül 1

Pod Security Admission ve Güvenlik Bağlamları

Pod Security Standards: privileged, baseline, restricted profilleri
Namespace etiketleriyle enforce, audit ve warn modları (pod-security.kubernetes.io/*)
securityContext: runAsNonRoot, runAsUser, readOnlyRootFilesystem, allowPrivilegeEscalation: false
capabilities drop: [ALL], seccompProfile: RuntimeDefault ve AppArmor
Privileged konteyner, hostNetwork ve hostPath risklerinin gösterimi
kubesec ve kube-bench ile CIS Benchmark taramaları

Modül 2

Kyverno ve OPA Gatekeeper ile Politika Yönetimi

Policy-as-code yaklaşımı ve admission tabanlı uygulama
Kyverno ClusterPolicy: validate, mutate, generate ve verifyImages kuralları
OPA Gatekeeper ConstraintTemplate, Constraint ve Rego temelleri
Zorunlu etiket, kaynak limiti, güvenilir registry ve latest etiketi yasaklama kuralları
Audit modu, PolicyReport ve ihlal raporlama
Politika testleri: kyverno test ve conftest ile CI'da doğrulama

Modül 3

Kubernetes Log Mekanizması

Konteyner stdout/stderr akışı ve /var/log/pods ile /var/log/containers dosya yapısı
kubectl logs bayrakları: -f, --previous, --since, --tail, -c, --all-containers
Log rotasyonu: kubelet containerLogMaxSize ve containerLogMaxFiles ayarları
Düğüm düzeyi ajan (DaemonSet) ile log toplama: Fluent Bit ve Fluentd karşılaştırması
Sidecar ile dosya tabanlı uygulama loglarının stdout'a aktarılması
Kubernetes denetim (audit) loglarının politika seviyeleri: None, Metadata, Request, RequestResponse

Modül 4

Çok Kiracılı Küme ve Maliyet Yönetimi

Namespace tabanlı kiracılık: kota, RBAC, NetworkPolicy ve PSA birlikte kullanımı
vCluster ve Capsule gibi sanal küme / kiracı çözümleri
Kubecost ve OpenCost ile namespace bazlı maliyet raporlama
Node pool ayırma, taint ve dedicated node stratejileri
Spot/preemptible düğümlerle maliyet düşürme ve kesinti toleransı
Hierarchical Namespace Controller ve politika mirası

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

Küme mimarisi

kube-apiserver, etcd, scheduler ve kubelet arasındaki veri akışını açıklayabilirsiniz

✅

API mekanizması

API sunucusunun kaynak, sürüm ve erişim modelini kullanabilirsiniz

✅

Nesne modeli

Namespace, label ve selector ile kaynakları düzenli biçimde kurgulayabilirsiniz

✅

RBAC yetkilendirme

Role ve Binding nesneleriyle en az yetki ilkesine uygun erişim tanımlayabilirsiniz

✅

Secret yönetimi

Secret nesnelerini güvenli biçimde oluşturup Pod'lara sunabilirsiniz

✅

Admission kontrolü

Admission controller zincirini ve webhook yapılandırmalarını anlayabilirsiniz

✅

Politika motorları

Kyverno ve Gatekeeper ile küme politikalarını kod olarak yönetebilirsiniz

✅

Log mekanizması

Konteyner loglarının toplanma ve erişim yolunu açıklayıp yönetebilirsiniz

Kimler İçin Uygundur?

Küme güvenliğinden
erişim yönetiminden sorumlu Kubernetes yöneticileri ve güvenlik mühendisleri için uygundur

Sıkça Sorulan Sorular

Bu eğitim kimler için uygundur?

Küme güvenliğinden ve erişim yönetiminden sorumlu Kubernetes yöneticileri ve güvenlik mühendisleri için uygundur.

Eğitimde hangi konular işlenir?

3 gün boyunca şu modüller işlenir: Kontrol Düzlemi ve Düğüm Mimarisi; Kubernetes API Mekanizması; kubectl, kubeconfig ve Bildirimsel Yönetim; Nesne Modeli: Namespace, Label ve Selector; RBAC: Role, ClusterRole ve Binding; ServiceAccount ve Pod Kimliği; Secret Türleri ve Güvenli Kullanımı; Admission Controller ve Webhook'lar ve diğerleri.

Eğitim kaç gün sürer ve nasıl işlenir?

Eğitim 3 gündür. Her modül çok düğümlü laboratuvar kümesinde canlı komutlarla, kasıtlı arıza senaryoları ve kontrol listeleriyle işlenir.

Başlamak için hangi ön bilgi gerekir?

Pod, Deployment ve Service nesnelerini kubectl ile kullanmış olmak. systemd, journalctl ve metin tabanlı yapılandırma dosyalarıyla rahat çalışmak.

Eğitim sonunda belge verilir mi?

Başarıyla tamamlayan katılımcılara Digital Vizyon Akademi Katılım ve Başarı Sertifikası verilir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika

KUBERNETES ADMINISTRATOR: MANAGING ROLE-BASED ACCESS CONTROL EĞİTİMİ

Eğitim Hakkında

Neden Bu Eğitim?

Anahtar Konular

Ön Koşullar

Eğitim İçeriği

Kontrol Düzlemi ve Düğüm Mimarisi

Kubernetes API Mekanizması

kubectl, kubeconfig ve Bildirimsel Yönetim

Nesne Modeli: Namespace, Label ve Selector

RBAC: Role, ClusterRole ve Binding

ServiceAccount ve Pod Kimliği

Secret Türleri ve Güvenli Kullanımı

Admission Controller ve Webhook'lar

Pod Security Admission ve Güvenlik Bağlamları

Kyverno ve OPA Gatekeeper ile Politika Yönetimi

Kubernetes Log Mekanizması

Çok Kiracılı Küme ve Maliyet Yönetimi

Eğitim Kazanımları

Kimler İçin Uygundur?

Sıkça Sorulan Sorular

Sertifikalandırma

Eğitim Bilgileri

Bu Eğitimle Birlikte Tercih Edilenler

Kubernetes Administrator (CKA) Eğitimi

Kubernetes Administrator : CKA Exam Sample Scenarios Eğitimi

Kubernetes Administrator : Cluster Networking Eğitimi

Kubernetes Administrator : High Availability Eğitimi

Kubernetes Administrator : Kubernetes Architecture & Components Eğitimi