[desk@cli] $ssh 작업자1
[worker1@cli] $apparmor_parser -q /etc/apparmor.d/nginx
[worker1@cli] $aa-상태 | 그렙 nginx
nginx-프로필-1
[worker1@cli] $ 로그아웃
[desk@cli] $vim nginx-deploy.yaml
메타데이터 아래에 다음 줄을 추가합니다.
주석: # 이 줄을 추가합니다.
container.apparmor.security.beta.kubernetes.io/<컨테이너 이름>: localhost/nginx-profile-1
[desk@cli] $kubectl 적용 -f nginx-deploy.yaml
설명
[desk@cli] $ssh 작업자1
[worker1@cli] $apparmor_parser -q /etc/apparmor.d/nginx
[worker1@cli] $aa-상태 | 그렙 nginx
nginx-프로필-1
[worker1@cli] $ 로그아웃
[desk@cli] $vim nginx-deploy.yaml

[desk@cli] $kubectl apply -f nginx-deploy.yaml pod/nginx-deploy created 참조: https://kubernetes.io/docs/tutorials/clusters/apparmor/ pod/nginx-deploy created
[desk@cli] $kubectl apply -f nginx-deploy.yaml pod/nginx-deploy created 참조: https://kubernetes.io/docs/tutorials/clusters/apparmor/

worker1 $ vim /var/lib/kubelet/config.yaml
익명의:
활성화됨: true # 이것을 삭제합니다.
사용: false # 다음으로 교체
권한 부여:
모드: AlwaysAllow #Delete this
모드: Webhook #다음으로 바꾸기
worker1 $ systemctl kubelet을 다시 시작합니다. # kubelet 구성 ssh를 master1 master1로 다시 로드하려면 $ vim /etc/kubernetes/manifests/kube-apiserver.yaml - -- authorization-mode=Node,RBAC master1 $ vim /etc/kubernetes/manifests/etcd.yaml - --client -cert-auth=true 설명 ssh to worker1 worker1 $ vim /var/lib/kubelet/config.yaml apiVersion: kubelet.config.k8s.io/v1beta1 인증:
익명의:
활성화됨: true # 이것을 삭제합니다.
사용: false # 다음으로 교체
웹훅:
캐시TTL: 0초
활성화: 참
x509:
clientCAFile: /etc/kubernetes/pki/ca.crt
권한 부여:
모드: AlwaysAllow #Delete this
모드: Webhook #다음으로 바꾸기
웹훅:
캐시인증TTL: 0초
캐시무단TTL: 0s
cgroupDriver: 시스템
클러스터DNS:
- 10.96.0.10
클러스터도메인: cluster.local
cpuManagerReconcilePeriod: 0s
evictionPressureTransitionPeriod: 0초
fileCheckFrequency: 0s
healthzBind주소: 127.0.0.1
건강 포트: 10248
httpCheckFrequency: 0초
이미지최소GCAage: 0초
종류: KubeletConfiguration
로깅: {}
nodeStatusReportFrequency: 0초
nodeStatusUpdateFrequency: 0초
resolvConf: /run/systemd/resolve/resolv.conf
회전인증서: true
런타임 요청 시간 초과: 0초
staticPodPath: /etc/kubernetes/manifests
streamingConnectionIdleTimeout: 0초
syncFrequency: 0s
volumeStatsAggPeriod: 0초
worker1 $ systemctl kubelet을 다시 시작합니다. # kubelet 구성 ssh를 master1 master1로 다시 로드하려면 $ vim /etc/kubernetes/manifests/kube-apiserver.yaml

master1 $ vim /etc/kubernetes/manifests/etcd.yaml

권한 있는 컨테이너를 허용하지 않도록 psp 만들기
apiVersion: rbac.authorization.k8s.io/v1
종류: ClusterRole
메타데이터:
이름: 액세스 거부 역할
규칙:
- apiGroups: ['정책']
리소스: ['podsecuritypolicies']
동사: ['사용하다']
리소스 이름:
- "거부 정책"
k sa psp-denial-sa -n 개발 생성
apiVersion: rbac.authorization.k8s.io/v1
종류: ClusterRoleBinding
메타데이터:
이름: 제한 액세스 빙
역할참조:
종류: ClusterRole
이름: 액세스 거부 역할
api그룹: rbac.authorization.k8s.io
과목:
- 종류: ServiceAccount
이름: psp-denial-sa
네임스페이스: 개발
설명
master1 $ vim psp.yaml
apiVersion: 정책/v1beta1
종류: PodSecurityPolicy
메타데이터:
이름: 거부 정책
투기:
privileged: false # 권한이 있는 포드를 허용하지 않습니다!
셀리눅스:
규칙: RunAsAny
보충 그룹:
규칙: RunAsAny
runAsUser:
규칙: RunAsAny
fs그룹:
규칙: RunAsAny
볼륨:
- '*'
master1 $ vim cr1.yaml
apiVersion: rbac.authorization.k8s.io/v1
종류: ClusterRole
메타데이터:
이름: 액세스 거부 역할
규칙:
- apiGroups: ['정책']
리소스: ['podsecuritypolicies']
동사: ['사용하다']
리소스 이름:
- "거부 정책"
master1 $ k sa 생성 psp-denial-sa -n 개발
master1 $ vim cb1.yaml
apiVersion: rbac.authorization.k8s.io/v1
종류: ClusterRoleBinding
메타데이터:
이름: 제한 액세스 빙
역할참조:
종류: ClusterRole
이름: 액세스 거부 역할
api그룹: rbac.authorization.k8s.io
과목:
# 특정 서비스 계정 승인:
- 종류: ServiceAccount
이름: psp-denial-sa
네임스페이스: 개발
master1 $ k 적용 -f psp.yaml master1 $ k 적용 -f cr1.yaml master1 $ k 적용 -f cb1.yaml 참조: https://kubernetes.io/docs/concepts/policy/pod-security-policy/ master1 $ k 적용 -f cr1.yaml master1 $ k 적용 -f cb1.yaml master1 $ k 적용 -f psp.yaml master1 $ k 적용 -f cr1.yaml master1 $ k 적용 -f cb1.yaml 참조: https:// kubernetes.io/docs/concepts/policy/pod-security-policy/

API 서버에 대해 발견된 다음 위반 사항을 모두 수정합니다.- a. RotateKubeletServerCertificate 인수가 true로 설정되어 있는지 확인하십시오.
api 버전: v1
종류: 포드
메타데이터:
생성 타임스탬프: null
라벨:
구성 요소: kubelet
계층: 컨트롤 플레인
이름: 큐벨렛
네임스페이스: kube-system
투기:
컨테이너:
- 명령:
- kube-컨트롤러-매니저
+ - --feature-gates=RotateKubeletServerCertificate=true
이미지: gcr.io/google_containers/kubelet-amd64:v1.6.0
livenessProbe:
실패 임계값: 8
httpGet:
호스트: 127.0.0.1
경로: /healthz
포트: 6443
체계: HTTPS
initialDelaySeconds: 15
timeoutSeconds: 15
이름: 큐벨렛
자원:
요청:
CPU: 250m
볼륨 마운트:
- 마운트 경로: /etc/kubernetes/
이름: k8s
읽기 전용: 참
- 마운트 경로: /etc/ssl/certs
이름: 인증서
- 마운트 경로: /etc/pki
이름: pki
호스트 네트워크: 참
볼륨:
- 호스트 경로:
경로: /etc/kubernetes
이름: k8s
- 호스트 경로:
경로: /etc/ssl/certs
이름: 인증서
- 호스트 경로:
경로: /etc/pki
이름: pki
비. 허용 제어 플러그인 PodSecurityPolicy가 설정되어 있는지 확인합니다.
감사: "/bin/ps -ef | grep $apiserverbin | grep -v grep"
테스트:
테스트 항목:
- 플래그: "--enable-admission-plugins"
비교하다:
작전: 있다
값: "PodSecurityPolicy"
설정: 참
교정: |
설명서를 따르고 환경에 따라 포드 보안 정책 개체를 생성합니다.
그런 다음 API 서버 포드 사양 파일 $apiserverconf를 편집합니다.
마스터 노드에서 --enable-admission-plugins 매개변수를 PodSecurityPolicy를 포함하는 값으로 설정합니다.
--enable-admission-plugins=...,PodSecurityPolicy,...
그런 다음 API 서버를 다시 시작하십시오.
득점: 참
씨. --kubelet-certificate-authority 인수가 적절하게 설정되었는지 확인합니다.
감사: "/bin/ps -ef | grep $apiserverbin | grep -v grep"
테스트:
테스트 항목:
- 플래그: "--kubelet-certificate-authority"
설정: 참
교정: |
Kubernetes 설명서를 따르고 apiserver와 kubelet 간의 TLS 연결을 설정합니다. 그런 다음 API 서버 포드 사양 파일을 편집합니다.
$apiserverconf를 마스터 노드에 설치하고 --kubelet-certificate-authority 매개변수를 인증 기관의 인증서 파일 경로로 설정합니다.
--kubelet-certificate-authority=<ca-문자열>
득점: 참
ETCD에 대해 발견된 다음 위반 사항을 모두 수정하십시오.
ㅏ. --auto-tls 인수가 true로 설정되지 않았는지 확인하십시오.
마스터 노드에서 etcd 포드 사양 파일 $etcdconf를 편집하고 --auto-tls 매개변수를 제거하거나 false로 설정합니다. --auto-tls=false b. --peer-auto-tls 인수가 true로 설정되지 않았는지 확인합니다. 마스터 노드에서 etcd 포드 사양 파일 $etcdconf를 편집하고 --peer-auto-tls 매개변수를 제거하거나 false로 설정합니다. --피어-자동-tls=거짓

설명
[desk@cli] $vim runtime.yaml
apiVersion: node.k8s.io/v1
종류: RuntimeClass
메타데이터:
이름: 신뢰할 수 없음
핸들러: runc
[desk@cli] $k 적용 -f runtime.yaml [desk@cli] $k 포드 가져오기
이름 준비 상태 재시작 연령
nginx-6798fc88e8-chp6r 1/1 실행 중 0 11분
nginx-6798fc88e8-fs53n 1/1 실행 중 0 11분
nginx-6798fc88e8-ndved 1/1 실행 중 0 11분
[desk@cli] $ k 배포하기
이름 준비 최신 사용 가능 연령
nginx 3/3 11 3 5m
[desk@cli] $ k 편집 배포 nginx