コントロールプレーンのIPアドレス取得
kubectl get node controlplane -o jsonpath="{.status.addresses[0].address}"
Podからコントロールプレーンへのアクセスを拒否し、メタデータの取得を防ぐ
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-metadata
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: app
  policyTypes:
  - Egress
  egress:
  - to:
    - ipBlock:
        cidr: 0.0.0.0/0
        except:
        - <controlplane-ip>/32 # Replace with the actual IP address of the controlplane node

特定のユーザやServiceAccoutのみノード状態が見られるようにする。これにより不正なノードのメタデータの不正取得を防ぐ。
kubectl create clusterrole node-viewer --verb=get --verb=list --verb=watch --resource=nodes