B.2 — RBAC (quem pode fazer o quê no cluster)

É o IAM do Kubernetes (liga ao Módulo 6): define quais identidades podem fazer quais ações em quais recursos.

• Risco: um service account com permissão ampla (ou cluster-admin) — se o pod for comprometido, o atacante controla o cluster.
• Certo: menor privilégio por service account; nada de cluster-admin para apps.