CKS 문제 21
시뮬레이션
네임스페이스에서 권한 있는 포드 생성을 방지하는 PSP를 생성합니다.
권한 있는 포드 생성을 방지하는 prevent-privileged-policy라는 새 PodSecurityPolicy를 생성합니다.
네임스페이스 기본값에 psp-sa라는 새 ServiceAccount를 만듭니다.
새로 생성된 포드 보안 정책 prevent-privileged-policy를 사용하는 prevent-role이라는 새 ClusterRole을 생성합니다.
생성된 ClusterRole 방지 역할을 생성된 SA psp-sa에 바인딩하는 prevent-role-binding이라는 새 ClusterRoleBinding을 생성합니다.
또한 권한 있는 포드 생성을 시도하여 구성이 작동하는지 확인하지 않으면 실패해야 합니다.
네임스페이스에서 권한 있는 포드 생성을 방지하는 PSP를 생성합니다.
권한 있는 포드 생성을 방지하는 prevent-privileged-policy라는 새 PodSecurityPolicy를 생성합니다.
네임스페이스 기본값에 psp-sa라는 새 ServiceAccount를 만듭니다.
새로 생성된 포드 보안 정책 prevent-privileged-policy를 사용하는 prevent-role이라는 새 ClusterRole을 생성합니다.
생성된 ClusterRole 방지 역할을 생성된 SA psp-sa에 바인딩하는 prevent-role-binding이라는 새 ClusterRoleBinding을 생성합니다.
또한 권한 있는 포드 생성을 시도하여 구성이 작동하는지 확인하지 않으면 실패해야 합니다.
CKS 문제 22
john이라는 사용자를 생성하고 CSR 요청을 생성하고 승인 후 사용자의 인증서를 가져옵니다.
역할 이름 john-role을 생성하여 네임스페이스 john의 비밀, 포드를 나열합니다.
마지막으로 john-role-binding이라는 RoleBinding을 만들어 새로 생성된 역할 john-role을 네임스페이스 john의 사용자 john에 연결합니다.
확인하려면: kubectl auth CLI 명령을 사용하여 권한을 확인합니다.
역할 이름 john-role을 생성하여 네임스페이스 john의 비밀, 포드를 나열합니다.
마지막으로 john-role-binding이라는 RoleBinding을 만들어 새로 생성된 역할 john-role을 네임스페이스 john의 사용자 john에 연결합니다.
확인하려면: kubectl auth CLI 명령을 사용하여 권한을 확인합니다.
CKS 문제 23
kubesec 도커 이미지를 사용하여 지정된 YAML 매니페스트를 스캔하고 권장 변경 사항을 편집 및 적용하고 4점으로 통과했습니다.
kubesec-test.yaml
API 버전: v1
종류: 포드
메타데이터:
이름: kubesec-demo
투기:
컨테이너:
- 이름: kubesec-demo
이미지: gcr.io/google-samples/node-hello:1.0
보안 컨텍스트:
readOnlyRootFilesystem: true
kubesec-test.yaml
API 버전: v1
종류: 포드
메타데이터:
이름: kubesec-demo
투기:
컨테이너:
- 이름: kubesec-demo
이미지: gcr.io/google-samples/node-hello:1.0
보안 컨텍스트:
readOnlyRootFilesystem: true
CKS 문제 24
시뮬레이션
클러스터에서 감사 로그를 활성화합니다. To Do so, 로그 백엔드를 활성화하고 다음을 확인합니다.
1. 로그는 /var/log/kubernetes/kubernetes-logs.txt에 저장됩니다.
2. 로그 파일은 5일 동안 보관됩니다.
3. 최대 10개의 오래된 감사 로그 파일을 보유합니다.
기본 정책을 편집하고 확장하여 다음을 기록합니다.
1. RequestResponse의 크론잡 변경
2. kube-system 네임스페이스에서 배포 변경의 요청 본문을 기록합니다.
3. 요청 수준에서 코어 및 확장의 다른 모든 리소스를 기록합니다.
4. 엔드포인트에서 "system:kube-proxy"에 의한 감시 요청을 기록하지 않거나
클러스터에서 감사 로그를 활성화합니다. To Do so, 로그 백엔드를 활성화하고 다음을 확인합니다.
1. 로그는 /var/log/kubernetes/kubernetes-logs.txt에 저장됩니다.
2. 로그 파일은 5일 동안 보관됩니다.
3. 최대 10개의 오래된 감사 로그 파일을 보유합니다.
기본 정책을 편집하고 확장하여 다음을 기록합니다.
1. RequestResponse의 크론잡 변경
2. kube-system 네임스페이스에서 배포 변경의 요청 본문을 기록합니다.
3. 요청 수준에서 코어 및 확장의 다른 모든 리소스를 기록합니다.
4. 엔드포인트에서 "system:kube-proxy"에 의한 감시 요청을 기록하지 않거나
CKS 문제 25
Trivy를 사용하여 다음 이미지를 스캔하고,