[타임스탬프],[uid],[사용자 이름],[프로세스 이름]

[마스터 @ cli] $ cd / etc / Kubernetes / 구성
1. 명시적으로 거부하도록 kubeconfig 편집
[master@cli] $ vim kubeconfig.json
"defaultAllow": false # false로 변경
2. ~/.kube/config에서 값을 가져와 서버 매개변수를 수정합니다.
[master@cli] $cat /etc/kubernetes/config/kubeconfig.yaml | 그렙 서버
섬기는 사람:
3. ImagePolicyWebhook 활성화
[master@cli] $ vim /etc/kubernetes/manifests/kube-apiserver.yaml
- --enable-admission-plugins=NodeRestriction,ImagePolicyWebhook # 이것을 추가
- --admission-control-config-file=/etc/kubernetes/config/kubeconfig.json # 이 설명 추가
[desk@cli] $ ssh 마스터
[마스터 @ cli] $ cd / etc / Kubernetes / 구성
[master@cli] $ vim kubeconfig.json
{
"이미지 정책": {
"kubeConfigFile": "/etc/kubernetes/config/kubeconfig.yaml",
"허용TTL": 50,
"거부TTL": 50,
"재시도백오프": 500,
"defaultAllow": true # 삭제
"defaultAllow": false # 이것을 추가
}
}

참고: 여기에서 누락된 값을 볼 수 있으므로 이 값을 어디서 얻을 수 있습니까?
[master@cli] $cat ~/.kube/config | 그렙 서버
또는
[master@cli] $cat /etc/kubernetes/manifests/kube-apiserver.yaml

[master@cli] $vim /etc/kubernetes/config/kubeconfig.yaml

[master@cli] $ vim /etc/kubernetes/manifests/kube-apiserver.yaml - --enable-admission-plugins=NodeRestriction # 삭제 - --enable-admission-plugins=NodeRestriction,ImagePolicyWebhook # 추가 - -- Admission-control-config-file=/etc/kubernetes/config/kubeconfig.json # 이 참조 추가: https://kubernetes.io/docs/reference/access-authn-authz/admission-controllers/
- --enable-admission-plugins=NodeRestriction # 삭제
- --enable-admission-plugins=NodeRestriction,ImagePolicyWebhook # 이것을 추가
- --admission-control-config-file=/etc/kubernetes/config/kubeconfig.json # 추가
[master@cli] $ vim /etc/kubernetes/manifests/kube-apiserver.yaml - --enable-admission-plugins=NodeRestriction # 삭제 - --enable-admission-plugins=NodeRestriction,ImagePolicyWebhook # 추가 - -- Admission-control-config-file=/etc/kubernetes/config/kubeconfig.json # 이 참조 추가: https://kubernetes.io/docs/reference/access-authn-authz/admission-controllers/

API 서버에서 발견된 다음 위반 사항을 모두 수정하십시오.- a. RotateKubeletServerCertificate 인수가 true로 설정되었는지 확인하십시오.
API 버전: v1
종류: 포드
메타데이터:
생성 타임스탬프: null
라벨:
구성 요소: kubelet
계층: 컨트롤 플레인
이름: kubelet
네임스페이스: kube-system
투기:
컨테이너:
- 명령:
- 큐브 컨트롤러 관리자
+ - --feature-gates=RotateKubeletServerCertificate=true
이미지: gcr.io/google_containers/kubelet-amd64:v1.6.0
활성 프로브:
실패 임계값: 8
http받기:
호스트: 127.0.0.1
경로: /healthz
포트: 6443
체계: HTTPS
초기지연초: 15
시간 초과초: 15
이름: kubelet
자원:
요청:
CPU: 250m
volumeMounts:
- 마운트 경로: / etc / kubernetes /
이름: k8s
읽기 전용: 참
- 마운트 경로: /etc/ssl/certs
이름: 인증서
- 마운트 경로: /etc/pki
이름: pki
호스트 네트워크: 참
볼륨:
- 호스트 경로:
경로: / etc / kubernetes
이름: k8s
- 호스트 경로:
경로: /etc/ssl/certs
이름: 인증서
- 호스트 경로:
경로: /etc/pki
이름: pki
비. 승인 제어 플러그인 PodSecurityPolicy가 설정되어 있는지 확인하십시오.
감사: "/ bin/ps -ef | grep $ apiserverbin | grep -v grep"
테스트:
test_items:
- 플래그: "--enable-admission-plugins"
비교하다:
에: 있다
값: "PodSecurityPolicy"
설정: 참
교정: |
설명서에 따라 환경에 따라 Pod 보안 정책 개체를 생성합니다.
그런 다음 API 서버 포드 사양 파일 $apiserverconf를 편집합니다.
마스터 노드에서 --enable-admission-plugins 매개변수를 PodSecurityPolicy를 포함하는 값으로 설정합니다.
--enable-admission-plugins=...,PodSecurityPolicy,...
그런 다음 API 서버를 다시 시작하십시오.
득점: 사실
씨. --kubelet-certificate-authority 인수가 적절하게 설정되었는지 확인하십시오.
감사: "/ bin/ps -ef | grep $ apiserverbin | grep -v grep"
테스트:
test_items:
- 플래그: "--kubelet-certificate-authority"
설정: 참
교정: |
Kubernetes 문서를 따르고 apiserver와 kubelets 간의 TLS 연결을 설정하십시오. 그런 다음 API 서버 포드 사양 파일을 편집합니다.
마스터 노드에서 $apiserverconf를 만들고 --kubelet-certificate-authority 매개변수를 인증 기관의 인증서 파일 경로로 설정합니다.
--kubelet-certificate-authority=<ca-string>
득점: 사실
ETCD에 대해 발견된 다음 위반 사항을 모두 수정합니다.
ㅏ. --auto-tls 인수가 true로 설정되지 않았는지 확인하십시오.
마스터 노드에서 etcd 포드 사양 파일 $etcdconf를 편집하고 --auto-tls 매개변수를 제거하거나 false로 설정합니다. --auto-tls=거짓 b. --peer-auto-tls 인수가 true로 설정되지 않았는지 확인하십시오. 마스터 노드에서 etcd 포드 사양 파일 $etcdconf를 편집하고 --peer-auto-tls 매개변수를 제거하거나 false로 설정하십시오. --peer-auto-tls=거짓