Config Connector è un'integrazione Kubernetes che consente di dichiarare le risorse Google Cloud come risorse personalizzate in un cluster. Invece di chiamare direttamente le API di Google Cloud, un utente invia un manifest e il controller di Config Connector riconcilia quello stato desiderato usando la propria identità Google Cloud. Questo rende più facile automatizzare l'infrastruttura cloud, ma significa anche che il controller diventa un intermediario potente.
In termini di sicurezza, Config Connector può creare un rischio di confused deputy se il controller dispone di più autorizzazioni Google Cloud rispetto alla persona che ha scritto il manifest. Un utente Kubernetes con privilegi bassi potrebbe essere in grado di influenzare risorse al di fuori del proprio ambito previsto se RBAC, i confini dei namespace o le autorizzazioni del controller sono troppo ampi. I difensori dovrebbero applicare il principio del privilegio minimo all'account di servizio del controller, limitare rigorosamente chi può creare o modificare le risorse di Config Connector e trattare le modifiche con ambito di progetto, cartella o organizzazione come azioni ad alto rischio che richiedono revisione e monitoraggio.