sudo apparmor_parser -r /etc/apparmor.d/my-profile

sudo cat /sys/kernel/security/apparmor/profiles | sort

Aa-status

impersonation as a service account

Env secretとreadonly mount secretってそんなに違う？

Seccomp

default profile dir: /var/lib/kubelet/seccomp/profiles

journalctl -fu hoge.service

Kube-bench

kube-bench run --config-dir /opt/kube-bench/cfg

みたいな

Falco

grep -r ““

/etc/falco/falco.yaml

kill -1 

Sbom

Syft

grype

Trivy

Bom

what is tarball images?

—image-archive引数で食わせないとダメだ

projectedVolume?

audience?

PodSecurity

Restricted:latest namespaceについているのかな

netpolのAND OR

複数netpolの許可OR

audit policy

複数ルール書いたときの有効順。多分上からマッチ

image policy webhook

cillium netpol

PodSerurityStandard

Kubesec scan

rolebindingのないroleは？

saのimpersonation

istio mtls

例えばtls secretをただvolumeとして登録したときに、Podからはどう使える？keyごとにfile mount？

環境変数はそれはそれでsecretKeyRefできるしな。

automountServiceAccountTokenだけじゃダメなのか？

serviceAcconutNameとprojectedVolumeの話。