CKA, CKAD oder CKS: welche Prüfung zu deiner Rolle passt

kind: Cluster
apiVersion: kind.x-k8s.io/v1alpha4
nodes:
  - role: control-plane
  - role: worker
  - role: worker

# etcd-Snapshot ziehen, bevor du etwas kaputt machst
sudo etcdctl \
  --endpoints=https://127.0.0.1:2379 \
  --cacert=/etc/kubernetes/pki/etcd/ca.crt \
  --cert=/etc/kubernetes/pki/etcd/server.crt \
  --key=/etc/kubernetes/pki/etcd/server.key \
  snapshot save /opt/etcd-uebung.db

# Danach ruhig Unsinn bauen und die Reparatur üben
sudo mv /etc/kubernetes/manifests/kube-scheduler.yaml /tmp/
kubectl -n kube-system get pod          # der Scheduler verschwindet nach Sekunden
sudo journalctl -u kubelet -f           # hier stehen die Fehler, nicht in kubectl

# Zu Hause nachbauen, was die Prüfungsumgebung schon mitbringt
source <(kubectl completion bash)
alias k=kubectl
complete -o default -F __start_kubectl k

# Eigene Kürzel gelten nur in der aktuellen Shell, nach jedem ssh neu setzen
export do='--dry-run=client -o yaml'
export now='--grace-period=0 --force'

# Gerüste erzeugen statt schreiben
k run web --image=nginx:1.27 $do > pod.yaml
k create deploy api --image=nginx:1.27 --replicas=3 $do > deploy.yaml
k expose deploy api --port=80 --target-port=8080 $do > svc.yaml
k -n kube-system delete pod kaputt $now

k explain deployment.spec.template.spec.containers.livenessProbe --recursive
k get pod -A -o wide --sort-by=.metadata.creationTimestamp
k get pod -o jsonpath='{range .items[*]}{.metadata.name}{"\t"}{.spec.nodeName}{"\n"}{end}'
k get events -A --sort-by=.lastTimestamp | tail -20
k describe pod web | sed -n '/Events/,$p'

k -n prod create sa deploy-bot
k -n prod create role reader --verb=get,list,watch --resource=pods,deployments
k -n prod create rolebinding reader-bind --role=reader \
     --serviceaccount=prod:deploy-bot

# Der Prüfschritt, der die Aufgabe absichert
k auth can-i list deployments -n prod --as=system:serviceaccount:prod:deploy-bot
k auth can-i delete pods -n prod --as=system:serviceaccount:prod:deploy-bot

    livenessProbe:
      httpGet:
        path: /healthz
        port: 8080
      initialDelaySeconds: 10
      periodSeconds: 5
    readinessProbe:
      exec:
        command: ["cat", "/tmp/bereit"]
      failureThreshold: 3
    startupProbe:
      httpGet:
        path: /healthz
        port: 8080
      failureThreshold: 30
      periodSeconds: 10

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny
  namespace: prod
spec:
  podSelector: {}
  policyTypes:
    - Ingress
    - Egress
---
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: dns-erlauben
  namespace: prod
spec:
  podSelector: {}
  policyTypes: ["Egress"]
  egress:
    - to:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: kube-system
      ports:
        - protocol: UDP
          port: 53
        - protocol: TCP
          port: 53

# Erst warnen, dann erzwingen: so siehst du vorher, was rausfliegt
k label --overwrite ns prod pod-security.kubernetes.io/warn=restricted
k label --overwrite ns prod pod-security.kubernetes.io/audit=restricted
k rollout restart deploy -n prod        # jetzt erscheinen die Warnungen
k label --overwrite ns prod pod-security.kubernetes.io/enforce=restricted

# Images vor dem Ausrollen prüfen
trivy image --severity HIGH,CRITICAL --ignore-unfixed nginx:1.27

# Cluster gegen eine Härtungsbasis messen
kube-bench run --targets master,node