1. Dockerfile의 경우: Dockerfile에서 이미지 버전 및 사용자 이름 수정
2. mydeployment.yaml의 경우: 보안 컨텍스트 수정
설명
[desk@cli] $ vim /home/cert_masters/Dockerfile
FROM ubuntu:latest # 제거
FROM ubuntu:18.04 # 이것을 추가
USER 루트 # 이것을 제거하십시오
USER 아무도 # 이것을 추가하십시오
apt get install -y lsof=4.72 wget=1.17.1 nginx=4.2 실행
환경 환경=테스트
USER 루트 # 이것을 제거하십시오
USER 아무도 # 이것을 추가하십시오
CMD ["nginx -d"]

[desk@cli] $ vim /home/cert_masters/mydeployment.yaml
apiVersion: 앱/v1
종류: 배포
메타데이터:
생성 타임스탬프: null
라벨:
앱: 카프카
이름: 카프카
투기:
복제본: 1
선택자:
일치 레이블:
앱: 카프카
전략: {}
주형:
메타데이터:
생성 타임스탬프: null
라벨:
앱: 카프카
투기:
컨테이너:
- 이미지: 비트나미/카프카
이름: 카프카
volumeMounts:
- 이름: kafka-vol
마운트 경로: / var / lib / kafka
보안 컨텍스트:
{"capabilities":{"add":["NET_ADMIN"],"drop":["all"]},"privileged": True,"readOnlyRootFilesystem": False, "runAsUser": 65535} # 삭제
{"capabilities":{"add":["NET_ADMIN"],"drop":["all"]},"privileged": False,"readOnlyRootFilesystem": True, "runAsUser": 65535} # 다음 리소스를 추가합니다. {} 볼륨:
- 이름: kafka-vol
빈 디렉터리: {}
상태: {}
사진 보기:
[desk@cli] $ vim /home/cert_masters/mydeployment.yaml

모든 포드를 선택하지만 해당 포드에 대한 수신 트래픽을 허용하지 않는 NetworkPolicy를 생성하여 네임스페이스에 대한 "기본" 격리 정책을 생성할 수 있습니다.
---
api 버전: 네트워킹.k8s.io/v1
종류: 네트워크 정책
메타데이터:
이름: default-deny-ingress
투기:
포드 선택기: {}
정책 유형:
- 진입
모든 팟(Pod)을 선택하지만 해당 팟(Pod)의 송신 트래픽을 허용하지 않는 NetworkPolicy를 작성하여 네임스페이스에 대한 "기본" 송신 격리 정책을 작성할 수 있습니다.
---
api 버전: 네트워킹.k8s.io/v1
종류: 네트워크 정책
메타데이터:
이름: 모든 송신 허용
투기:
포드 선택기: {}
출구:
-{}
정책 유형:
- 탈출
기본적으로 모든 수신 및 모든 송신 트래픽 거부
해당 네임스페이스에 다음 NetworkPolicy를 생성하여 모든 수신 및 송신 트래픽을 방지하는 네임스페이스에 대한 "기본" 정책을 생성할 수 있습니다.
---
api 버전: 네트워킹.k8s.io/v1
종류: 네트워크 정책
메타데이터:
이름: default-deny-all
투기:
포드 선택기: {}
정책 유형:
- 진입
- 탈출
이렇게 하면 다른 NetworkPolicy에서 선택하지 않은 포드라도 수신 또는 송신 트래픽이 허용되지 않습니다.

API 서버에서 발견된 다음 위반 사항을 모두 수정하십시오.- a. RotateKubeletServerCertificate 인수가 true로 설정되었는지 확인하십시오.
API 버전: v1
종류: 포드
메타데이터:
생성 타임스탬프: null
라벨:
구성 요소: kubelet
계층: 컨트롤 플레인
이름: kubelet
네임스페이스: kube-system
투기:
컨테이너:
- 명령:
- 큐브 컨트롤러 관리자
+ - --feature-gates=RotateKubeletServerCertificate=true
이미지: gcr.io/google_containers/kubelet-amd64:v1.6.0
활성 프로브:
실패 임계값: 8
http받기:
호스트: 127.0.0.1
경로: /healthz
포트: 6443
체계: HTTPS
초기지연초: 15
시간 초과초: 15
이름: kubelet
자원:
요청:
CPU: 250m
volumeMounts:
- 마운트 경로: / etc / kubernetes /
이름: k8s
읽기 전용: 참
- 마운트 경로: /etc/ssl/certs
이름: 인증서
- 마운트 경로: /etc/pki
이름: pki
호스트 네트워크: 참
볼륨:
- 호스트 경로:
경로: / etc / kubernetes
이름: k8s
- 호스트 경로:
경로: /etc/ssl/certs
이름: 인증서
- 호스트 경로:
경로: /etc/pki
이름: pki
비. 승인 제어 플러그인 PodSecurityPolicy가 설정되어 있는지 확인하십시오.
감사: "/ bin/ps -ef | grep $ apiserverbin | grep -v grep"
테스트:
test_items:
- 플래그: "--enable-admission-plugins"
비교하다:
에: 있다
값: "PodSecurityPolicy"
설정: 참
교정: |
설명서에 따라 환경에 따라 Pod 보안 정책 개체를 생성합니다.
그런 다음 API 서버 포드 사양 파일 $apiserverconf를 편집합니다.
마스터 노드에서 --enable-admission-plugins 매개변수를 PodSecurityPolicy를 포함하는 값으로 설정합니다.
--enable-admission-plugins=...,PodSecurityPolicy,...
그런 다음 API 서버를 다시 시작하십시오.
득점: 사실
씨. --kubelet-certificate-authority 인수가 적절하게 설정되었는지 확인하십시오.
감사: "/ bin/ps -ef | grep $ apiserverbin | grep -v grep"
테스트:
test_items:
- 플래그: "--kubelet-certificate-authority"
설정: 참
교정: |
Kubernetes 문서를 따르고 apiserver와 kubelets 간의 TLS 연결을 설정하십시오. 그런 다음 API 서버 포드 사양 파일을 편집합니다.
마스터 노드에서 $apiserverconf를 만들고 --kubelet-certificate-authority 매개변수를 인증 기관의 인증서 파일 경로로 설정합니다.
--kubelet-certificate-authority=<ca-string>
득점: 사실
ETCD에 대해 발견된 다음 위반 사항을 모두 수정합니다.
ㅏ. --auto-tls 인수가 true로 설정되지 않았는지 확인하십시오.
마스터에서 etcd 포드 사양 파일 $etcdconf 편집
노드에서 --auto-tls 매개변수를 제거하거나 false로 설정합니다.
--auto-tls = 거짓
비. --peer-auto-tls 인수가 true로 설정되지 않았는지 확인하십시오.
마스터에서 etcd 포드 사양 파일 $etcdconf 편집
노드에서 --peer-auto-tls 매개변수를 제거하거나 false로 설정합니다.
--peer-auto-tls=거짓