Kubernetes 감사는 클러스터에 대한 보안 관련 연대순 레코드 세트를 제공합니다. Kube-apiserver는 감사를 수행합니다. 각 실행 단계의 각 요청은 이벤트를 생성한 다음 특정 정책에 따라 사전 처리되고 백엔드에 기록됩니다. 정책은 기록되는 항목을 결정하고 백엔드는 레코드를 유지합니다.
CIS(Center for Internet Security) Kubernetes Benchmark 제어 준수의 일부로 감사 로그를 구성할 수 있습니다.
감사 로그는 cluster.yml에서 다음 구성을 사용하여 기본적으로 활성화할 수 있습니다.
서비스:
kube-api:
감사 로그:
활성화: 참
감사 로그가 활성화되면 /etc/kubernetes/audit-policy.yaml에서 기본값을 볼 수 있어야 합니다. 로그 백엔드는 감사 이벤트를 JSONlines 형식의 파일에 기록합니다. 다음 kube-apiserver 플래그를 사용하여 로그 감사 백엔드를 구성할 수 있습니다.
--audit-log-path는 로그 백엔드가 감사 이벤트를 작성하는 데 사용하는 로그 파일 경로를 지정합니다. 이 플래그를 지정하지 않으면 로그 백엔드가 비활성화됩니다. - 표준 출력을 의미합니다.
--audit-log-maxage는 이전 감사 로그 파일을 보관할 최대 일수를 정의했습니다.
--audit-log-maxbackup은 보관할 최대 감사 로그 파일 수를 정의합니다.
--audit-log-maxsize는 감사 로그 파일이 회전되기 전에 최대 크기(MB)를 정의합니다. 클러스터의 컨트롤 플레인이 kube-apiserver를 포드로 실행하는 경우 hostPath를 정책 파일 및 로그 위치에 마운트해야 합니다. 감사 기록이 유지되도록 파일. 예를 들어:
--audit-policy-file=/etc/kubernetes/audit-policy.yaml \
--audit-log-path=/var/log/audit.log

se kubectl을 사용하여 CSR을 생성하고 승인합니다.
CSR 목록 가져오기:
kubectl CSR 가져오기
CSR을 승인합니다.
kubectl 인증서 승인 myuser
인증서 받기
CSR에서 인증서를 검색합니다.
kubectl get csr/myuser -o yaml
다음은 john에게 NEW_CRD 리소스를 생성할 수 있는 권한을 부여하는 역할 및 역할 바인딩입니다.
kubectl 적용 -f roleBindingJohn.yaml --as=john
rolebinding.rbac.authorization.k8s.io/john_external-rosource-rb 생성 종류: RoleBinding apiVersion: rbac.authorization.k8s.io/v1 메타데이터:
이름: john_crd
네임스페이스: 개발-존
과목:
- 종류: 사용자
이름: 존
api그룹: rbac.authorization.k8s.io
역할참조:
종류: ClusterRole
이름: crd 생성
종류: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
메타데이터:
이름: crd 생성
규칙:
- apiGroups: ["kubernetes-client.io/v1"]
리소스: ["NEW_CRD"]
동사: ["만들다, 나열하다, 얻다"]

[desk@cli] $ k create sa backend-qa -n qa sa/backend-qa created [desk@cli] $ k get role,rolebinding -n qa qa 네임스페이스에서 리소스를 찾을 수 없습니다. [desk@cli] $ k create role backend -n qa --resource pods,namespaces,configmaps --verb list # 비밀에 대한 액세스 권한 없음 [desk@cli] $ k create rolebinding backend -n qa --role backend --serviceaccount qa:backend-qa [desk@cli] $ vim /home/cert_masters/frontend-pod.yaml apiVersion: v1 종류: 포드 메타데이터:
이름: 프론트엔드
투기:
serviceAccountName: backend-qa # 이것을 추가하십시오
이미지: nginx
이름: 프론트엔드
[desk@cli] $ k 적용 -f /home/cert_masters/frontend-pod.yaml 포드 생성됨
[desk@cli] $k create sa backend-qa -n qa serviceaccount/backend-qa created [desk@cli] $k get role,rolebinding -n qa qa 네임스페이스에서 리소스를 찾을 수 없습니다. [desk@cli] $ k 역할 백엔드 생성 -n qa --resource pods,namespaces,configmaps --verb list role.rbac.authorization.k8s.io/backend 생성 [desk@cli] $ k 역할 바인딩 백엔드 생성 -n qa --role backend --serviceaccount qa:backend-qa rolebinding.rbac.authorization.k8s.io/backend created [desk@cli] $ vim /home/cert_masters/frontend-pod.yaml apiVersion: v1 종류: 포드 메타데이터:
이름: 프론트엔드
투기:
serviceAccountName: backend-qa # 이것을 추가하십시오
이미지: nginx
이름: 프론트엔드
[desk@cli] $ k 적용 -f /home/cert_masters/frontend-pod.yaml pod/frontend 생성 https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/

네임스페이스에서 권한 있는 포드 생성을 방지하는 PSP를 생성합니다.
$ cat clusterrole-use-privileged.yaml
---
apiVersion: rbac.authorization.k8s.io/v1
종류: ClusterRole
메타데이터:
이름: use-privileged-psp
규칙:
- apiGroups: ['정책']
리소스: ['podsecuritypolicies']
동사: ['사용하다']
리소스 이름:
- 기본 psp
---
apiVersion: rbac.authorization.k8s.io/v1
종류: 롤바인딩
메타데이터:
이름: 권한 있는 역할 바인딩
네임스페이스: psp-test
역할참조:
api그룹: rbac.authorization.k8s.io
종류: ClusterRole
이름: use-privileged-psp
과목:
- 종류: ServiceAccount
이름: 특권-sa
$ kubectl -n psp-test 적용 -f clusterrole-use-privileged.yaml
잠시 후 권한 있는 포드가 생성되어야 합니다.
특권 포드 생성을 방지하는 prevent-privileged-policy라는 이름의 새 PodSecurityPolicy를 생성합니다.
apiVersion: 정책/v1beta1
종류: PodSecurityPolicy
메타데이터:
이름: 예
투기:
privileged: false # 권한이 있는 포드를 허용하지 않습니다!
# 나머지는 일부 필수 필드를 채웁니다.
셀리눅스:
규칙: RunAsAny
보충 그룹:
규칙: RunAsAny
runAsUser:
규칙: RunAsAny
fs그룹:
규칙: RunAsAny
볼륨:
- '*'
그리고 kubectl로 생성합니다.
kubectl-admin create -f example-psp.yaml
이제 권한이 없는 사용자로 간단한 포드를 생성해 봅니다.
kubectl-user create -f- <<EOF
api 버전: v1
종류: 포드
메타데이터:
이름: 일시정지
투기:
컨테이너:
- 이름: 일시정지
이미지: k8s.gcr.io/pause
EOF
출력은 다음과 유사합니다.
서버 오류(금지됨): "STDIN" 생성 시 오류: 포드 "일시 중지"가 금지됨: 모든 포드 보안 정책에 대해 유효성을 검사할 수 없음: [] 네임스페이스 기본값에 psp-sa라는 새 ServiceAccount를 생성합니다.
$ cat clusterrole-use-privileged.yaml
---
apiVersion: rbac.authorization.k8s.io/v1
종류: ClusterRole
메타데이터:
이름: use-privileged-psp
규칙:
- apiGroups: ['정책']
리소스: ['podsecuritypolicies']
동사: ['사용하다']
리소스 이름:
- 기본 psp
---
apiVersion: rbac.authorization.k8s.io/v1
종류: 롤바인딩
메타데이터:
이름: 권한 있는 역할 바인딩
네임스페이스: psp-test
역할참조:
api그룹: rbac.authorization.k8s.io
종류: ClusterRole
이름: use-privileged-psp
과목:
- 종류: ServiceAccount
이름: 특권-sa
$ kubectl -n psp-test 적용 -f clusterrole-use-privileged.yaml
잠시 후 권한 있는 포드가 생성되어야 합니다.
새로 생성된 포드 보안 정책 prevent-privileged-policy를 사용하는 prevent-role이라는 새 ClusterRole을 생성합니다.
apiVersion: 정책/v1beta1
종류: PodSecurityPolicy
메타데이터:
이름: 예
투기:
privileged: false # 권한이 있는 포드를 허용하지 않습니다!
# 나머지는 일부 필수 필드를 채웁니다.
셀리눅스:
규칙: RunAsAny
보충 그룹:
규칙: RunAsAny
runAsUser:
규칙: RunAsAny
fs그룹:
규칙: RunAsAny
볼륨:
- '*'
그리고 kubectl로 생성합니다.
kubectl-admin create -f example-psp.yaml
이제 권한이 없는 사용자로 간단한 포드를 생성해 봅니다.
kubectl-user create -f- <<EOF
api 버전: v1
종류: 포드
메타데이터:
이름: 일시정지
투기:
컨테이너:
- 이름: 일시정지
이미지: k8s.gcr.io/pause
EOF
출력은 다음과 유사합니다.
서버 오류(금지됨): "STDIN" 생성 시 오류: 포드 "일시 중지"가 금지됨: 모든 포드 보안 정책에 대해 유효성을 검사할 수 없음: [] 생성된 ClusterRole을 바인딩하는 prevent-role-binding이라는 새 ClusterRoleBinding을 만듭니다. 생성된 SA psp-sa에 대한 역할.
apiVersion: rbac.authorization.k8s.io/v1
# 이 역할 바인딩을 통해 "jane"은 "default" 네임스페이스에서 포드를 읽을 수 있습니다.
# 해당 네임스페이스에 "pod-reader"라는 역할이 이미 있어야 합니다.
종류: 롤바인딩
메타데이터:
이름: 읽기 포드
네임스페이스: 기본값
과목:
# 하나 이상의 "제목"을 지정할 수 있습니다.
- 종류: 사용자
이름: jane # "이름"은 대소문자를 구분합니다.
api그룹: rbac.authorization.k8s.io
역할참조:
# "roleRef"는 역할/ClusterRole에 대한 바인딩을 지정합니다.
종류: 역할 #이것은 역할 또는 ClusterRole이어야 합니다.
name: pod-reader # 이것은 apiGroup: rbac.authorization.k8s.io apiVersion: rbac.authorization.k8s.io/v1 종류: 역할 메타데이터에 바인딩하려는 역할 또는 ClusterRole의 이름과 일치해야 합니다.
네임스페이스: 기본값
이름: 포드 리더
규칙:
- apiGroups: [""] # ""는 핵심 API 그룹을 나타냅니다.
리소스: ["포드"]
동사: ["get", "watch", "list"]