LecturaBienvenida al curso
En la revisión de un clúster de práctica, alguien con una cuenta de "desarrollo" escribe esto:
$ kubectl auth can-i get secrets -n tienda
yes
$ kubectl get secret db-cred -n tienda -o jsonpath='{.data.password}' | base64 -d
cafetal-pg-2026La contraseña de la base de datos, en texto claro, con dos comandos. Nada se rompió: un Secret guarda los datos en Base64, que es una codificación y no un cifrado, y el rol de esa cuenta podía leer Secrets porque alguien copió un ejemplo con resources: ["*"]. El caso es inventado; la combinación aparece en revisiones reales.
Bienvenido a Kubernetes: fundamentos y seguridad. Va a pasar de contenedores sueltos a un clúster completo, y cada objeto que aprenda a crear lo aprenderá también a restringir y a auditar.
Qué va a lograr
- Explicar cómo se reparten el trabajo el API server, etcd, el scheduler y el kubelet.
- Crear un clúster local con kind y observarlo con
kubectl get,describe,logsyexplain. - Desplegar, escalar y revertir aplicaciones con Deployments, Services, ConfigMaps, Secrets y Namespaces.
- Aplicar mínimo privilegio con RBAC y endurecer pods con securityContext y Pod Security Standards.
- Cerrar la red con NetworkPolicy y auditar el clúster con kube-bench y Trivy.
Para quién es y qué necesita
Es para analistas, administradores y desarrolladores que ya saben qué es un contenedor. Conviene haber hecho Docker: fundamentos y seguridad; para un primer contacto, la píldora Kubernetes en 40 minutos sirve de calentamiento.
Necesita Windows, macOS o Linux con unos 4 GB de RAM libres, Docker funcionando (kind levanta el clúster dentro de contenedores) y un editor que muestre los espacios. El primer laboratorio instala kubectl y kind; el último necesita además Trivy.
Cómo está organizado
| Módulo | Qué aprende | Laboratorio |
|---|---|---|
| 1. Arquitectura y primer clúster | Qué es Kubernetes, sus componentes y kubectl | Su clúster local con kind |
| 2. Objetos de Kubernetes | Pods, YAML, Deployments, Services, ConfigMaps, Secrets y Namespaces | Desplegar, escalar y revertir la tienda |
| 3. Control de acceso y seguridad de pods | RBAC, Secrets, securityContext y Pod Security Standards | RBAC mínimo y un pod restringido |
| 4. Red, auditoría y herramientas defensivas | NetworkPolicy, Ingress, auditoría, kube-bench y Trivy, más la conclusión | Cerrar la red y auditar el clúster |
| Evaluación | 6 preguntas sobre todo el curso | Aprueba con 70 % |
Cómo aprovecharlo
Escriba los manifiestos a mano la primera vez. En YAML, dos espacios de más cambian el significado de una línea, y el error de kubectl apply no siempre dice dónde está. Guarde los archivos del módulo 2 en una carpeta propia: el laboratorio del módulo 4 los reutiliza.
El laboratorio que más cuesta es el del módulo 4. Una NetworkPolicy que bloquea de más deja la tienda sin base de datos, una que bloquea de menos no hace nada, y en los dos casos kubectl apply responde created. Pruebe la conexión desde un pod antes y después. Si el tráfico pasa igual, sospeche del plugin de red antes que de su YAML; el laboratorio explica cómo comprobarlo.
Al aprobar la evaluación final recibe el certificado y la insignia del curso.
Tiempo estimado
Unas 5 horas, más de hora y media en laboratorios. Haga cada uno con el clúster encendido de principio a fin; si lo borra a medias, hay pasos que repetir.