题目

Context
针对 kubeadm 创建的 cluster 运行 CIS 基准测试工具时，发现了多个必须立即解决的问题。

Task
通过配置修复所有问题并重新启动受影响的组件以确保新的设置生效。
修复针对 api server 发现的所有以下违规行为：
1.2.7 Ensure that the --authorization-mode argument is not set to AlwaysAllow FAIL
1.2.8 Ensure that the --authorization-mode argument includes Node FAIL
1.2.9 Ensure that the --authorization-mode argument includes RBAC FAIL
1.2.18 Ensure that the --insecure-bind-address argument is not set FAIL （现在没有了，也可以手动检查下）
1.2.19 Ensure that the --insecure-port argument is set to 0 FAIL （现在没有了，也可以手动检查下）

修复针对 kubelet 发现的所有以下违规行为：
Fix all of the following violations that were found against the kubelet:
4.2.1 Ensure that the anonymous-auth argument is set to false FAIL
4.2.2 Ensure that the --authorization-mode argument is not set to AlwaysAllow FAIL
注意：尽可能使用 Webhook 身份验证/授权。

修复针对 etcd 发现的所有以下违规行为：
Fix all of the following violations that were found against etcd:
2.2 Ensure that the --client-cert-auth argument is set to true FAIL

- -authorization-mode strings 在安全端口上进行鉴权的插件的顺序列表。逗号分隔的列表：AlwaysAllow、AlwaysDeny、ABAC、Webhook、RBAC、Node。默认值：“AlwaysAllow”
- -authorization-mode stringkubelet 服务器的鉴权模式。可选值包括：AlwaysAllow、Webhook。Webhook 模式使用 SubjectAccessReview API 鉴权。当 --config 参数未被设置时，默认值为 AlwaysAllow，当使用了 --config 时，默认值为 Webhook。

环境搭建

apiserver部分
命令

vim /etc/kubernetes/manifests/kube-apiserver.yaml

截图

命令

vim /var/lib/kubelet/config.yaml

截图

命令

vim /etc/kubernetes/manifests/etcd.yaml

截图

之后按照参考的链接，根据集群所在系统类型安装即可

kube-bench

解题

解题很简单，按照要求改就行。

命令

vim /var/lib/kubelet/config.yaml

anonymous的enabled改为true
authorization改为Webhook
截图

命令

vim /etc/kubernetes/manifests/etcd.yaml

--client-cert-auth改为true
截图

命令

vim /etc/kubernetes/manifests/kube-apiserver.yaml

--authorization-mode改为Node,RBAC
截图

最后，重启一下kubelet

systemctl daemon-reload
systemctl restart kubelet

模拟题

kube-bench run --targets master --check 1.2.20

systemctl daemon-reload
systemctl restart kubelet

参考

k8s-apiserver配置
k8s-kubelet配置
k8s-etcd配置
github-kube-bench
更多k8s相关内容，请看文章：k8s学习-思维导图与学习笔记

k8s-CKS真题-CIS基准测试与安全扫描相关推荐

k8s学习-CKS真题-secret创建、使用
目录题目环境搭建解题任务一任务二任务三模拟题参考题目 Task 在 namespace istio-system 中获取名为 db1-test 的现有 secret 的内容将 us ...
k8s学习-CKS真题-Runtime设置gVisor
目录题目环境搭建解题参考题目该 cluster 使用 containerd 作为 CRI 运行时.containerd 的默认运行时处理程序是 runc. containerd 已准备好支 ...
python二级考试真题_2020年宁夏二级建造师考试《建筑工程》真题及答案-二级建造师...
2020年二级建造师统考时间为10月31日-11月1日,其中<建筑工程管理与实务>科目考试时间11月1日9:00-12:00.考试结束后,233网校将及时为大家提供试题答案,并有专业老师进 ...
python二级考试真题_2020年海南二级建造师考试《建筑工程》真题及答案_二级建造师...
2020年二级建造师统考时间为10月31日-11月1日,其中<建筑工程管理与实务>科目考试时间11月1日9:00-12:00.考试结束后,233网校将及时为大家提供试题答案,并有专业老师进 ...
华为OD机试（Java）真题目录汇总（20222023）
1.其它语言华为OD机试真题目录华为OD机试(Python)真题目录汇总华为OD机试(C++)真题目录汇总华为OD机试(JavaScript)真题目录汇总 2.Java语言实现华为OD机试目录 ...
华为OD机试（Python）真题目录汇总（20222023）
1.其它语言华为OD机试真题目录华为OD机试(JAVA)真题目录汇总华为OD机试(C++)真题目录汇总华为OD机试(JavaScript)真题目录汇总 2.Python语言实现华为OD机试目录 ...
2022必撸八股！198道K8s/Docker/DevOps面试真题大汇总
技术的发展和演进是不可逆的. 整个互联网从最开始的单体架构,到垂直架构,到SOA架构,一路演进到现在的以微服务.Service Mesh等云原生技术为代表的架构形态. 像阿里.字节等大厂,基本上都已经 ...
【软考系统架构设计师】2009年下系统架构师综合知识历年真题
[软考系统架构设计师]2009年下系统架构师综合知识历年真题 2009年下系统架构师综合知识历年真题 [软考系统架构设计师]2009年下系统架构师综合知识历年真题 [2009下架构真题第01题:绿色] ...
CIS基准测试工具kube-bench使用
CIS基准测试工具kube-bench使用 CIS安全基准 CIS基准测试工具kube-bench kube-bench基本使用测试项目配置文件测试master 测试node 测试ETCD CIS ...

k8s-CKS真题-CIS基准测试与安全扫描

目录

题目

环境搭建

解题

模拟题

参考

k8s-CKS真题-CIS基准测试与安全扫描相关推荐

最新文章

热门文章