$ vim /etc/kubernetes/log-policy/audit-policy.yaml
- 수준: RequestResponse
userGroups: ["시스템:노드"]
- 레벨 : 요청
자원:
- 그룹: "" # 핵심 API 그룹
자원: ["영구 볼륨"]
네임스페이스: ["프런트엔드"]
- 수준: 메타데이터
자원:
- 그룹: ""
리소스: ["configmaps", "secrets"]
- 수준: 메타데이터
$ vim /etc/kubernetes/manifests/kube-apiserver.yaml 이것을 추가하세요
- --audit-policy-file=/etc/kubernetes/log-policy/audit-policy.yaml
- --audit-log-path=/var/log/kubernetes/logs.txt
- --audit-log-maxage=5
- --audit-log-maxbackup=10
설명
[desk@cli] $ ssh master1 [master1@cli] $ vim /etc/kubernetes/log-policy/audit-policy.yaml apiVersion: audit.k8s.io/v1 # 필수입니다.
종류: 정책
# RequestReceived 단계의 모든 요청에 ​​대해 감사 이벤트를 생성하지 마세요.
생략단계:
- "요청 접수됨"
규칙:
# 엔드포인트나 서비스에서 "system:kube-proxy"에 의한 감시 요청을 기록하지 마세요.
- 레벨: 없음
사용자: ["system:kube-proxy"]
동사: ["시계"]
자원:
- 그룹: "" # 핵심 API 그룹
리소스: ["엔드포인트", "서비스"]
# 리소스가 아닌 특정 URL 경로에 대한 인증된 요청을 기록하지 마세요.
- 레벨: 없음
userGroups: ["시스템:인증됨"]
비자원URL:
- "/api*" # 와일드카드 일치.
- "/버전"
# 아래에 변경사항을 추가하세요
- 수준: RequestResponse
userGroups: ["system:nodes"] # 노드 차단
- 레벨 : 요청
자원:
- 그룹: "" # 핵심 API 그룹
resources: ["perciousvolumes"] # 영구 볼륨 차단
네임스페이스: ["frontend"] # 프론트엔드 ns의 영구 볼륨을 차단합니다.
- 수준: 메타데이터
자원:
- 그룹: "" # 핵심 API 그룹
resources: ["configmaps", "secrets"] # configmap 및 비밀 차단
- 수준: 메타데이터 # 기타 모든 항목 차단
[master1@cli] $ vim /etc/kubernetes/manifests/kube-apiserver.yaml
api버전: v1
종류: 포드
메타데이터:
주석:
kubeadm.kubernetes.io/kube-apiserver.advertise-address.endpoint: 10.0.0.5:6443 라벨:
구성요소: kube-apiserver
계층: 제어 영역
이름: kube-apiserver
네임스페이스: kube-system
투기:
컨테이너:
- 명령:
-kube-api서버
- --advertise-address=10.0.0.5
- --allow-privileged=true
- --authorization-mode=노드,RBAC
- --audit-policy-file=/etc/kubernetes/log-policy/audit-policy.yaml #이 항목을 추가하세요.
- --audit-log-path=/var/log/kubernetes/logs.txt # 이것을 추가하세요
- --audit-log-maxage=5 #이것을 추가하세요
- --audit-log-maxbackup=10 #이것을 추가하세요
...
잘린 출력
참고: 로그 볼륨 및 정책 볼륨은 vim /etc/kubernetes/manifests/kube-apiserver.yaml에 이미 마운트되어 있으므로 마운트할 필요가 없습니다. 참조: https://kubernetes.io/docs/tasks/debug-application-cluster/audit/

참조: https://kubernetes.io/docs/concepts/policy/pod-security-policy/ https://cloud.google.com/architecture/best-practices-for-operating-containers

master1 $ k 포드 가져오기 -n 테스트 --show-labels
이름 준비 상태 다시 시작 연령 라벨
test-pod 1/1 실행 중 0 34s role=test,run=test-pod
테스트 1/1 실행 중 0 17d 실행=테스트 중
$ vim netpol.yaml
API버전:networking.k8s.io/v1
종류: NetworkPolicy
메타데이터:
이름: 거부 네트워크
네임스페이스: 테스트
투기:
포드선택기: {}
정책 유형:
- 인그레스
- 출구
master1 $ k 적용 -f netpol.yaml
설명
controlplane $ k 포드 가져오기 -n 테스트 --show-labels
이름 준비 상태 다시 시작 연령 라벨
test-pod 1/1 실행 중 0 34s role=test,run=test-pod
테스트 1/1 실행 중 0 17d 실행=테스트 중
master1 $ vim netpol1.yaml
API버전:networking.k8s.io/v1
종류: NetworkPolicy
메타데이터:
이름: 거부 네트워크
네임스페이스: 테스트
투기:
포드선택기: {}
정책 유형:
- 인그레스
- 출구
master1 $ k apply -f netpol1.yaml 참조: https://kubernetes.io/docs/concepts/services-networking/network-policies/ 설명 controlplane $ k get pods -n test --show-labels 이름 준비 상태 다시 시작 연령 LABELS test-pod 1/1 실행 중 0 34s role=test,run=test-pod 테스트 1/1 실행 중 0 17d run=testing master1 $ vim netpol1.yaml apiVersion:networking.k8s.io/v1 종류: NetworkPolicy 메타데이터:
이름: 거부 네트워크
네임스페이스: 테스트
투기:
포드선택기: {}
정책 유형:
- 인그레스
- 출구
master1 $ k apply -f netpol1.yaml 참조: https://kubernetes.io/docs/concepts/services-networking/network-policies/

API 서버:
--authorization-mode 인수에 RBAC가 포함되어 있는지 확인하세요.
역할 기반 액세스 제어를 활성화합니다. RBAC(역할 기반 액세스 제어)를 사용하면 여러 엔터티가 클러스터의 여러 개체에 대해 수행할 수 있는 작업을 세밀하게 제어할 수 있습니다. RBAC 인증 모드를 사용하는 것이 좋습니다.
수정 - 빌드 시간
쿠버네티스
api버전: v1
종류: 포드
메타데이터:
생성타임스탬프: null
라벨:
구성요소: kube-apiserver
계층: 제어 영역
이름: kube-apiserver
네임스페이스: kube-system
투기:
컨테이너:
- 명령:
+ - kube-apiserver
+ - --authorization-mode=RBAC,노드
이미지: gcr.io/google_containers/kube-apiserver-amd64:v1.6.0
활성 프로브:
실패임계값: 8
httpGet:
호스트: 127.0.0.1
경로: /healthz
포트: 6443
구성표: HTTPS
초기 지연초: 15
시간 초과초: 15
이름: kube-apiserver-should-pass
자원:
요청:
CPU: 250m
볼륨마운트:
- 마운트 경로: /etc/kubernetes/
이름: k8s
읽기 전용: 사실
- 마운트 경로: /etc/ssl/certs
이름: 인증서
- 마운트 경로: /etc/pki
이름: pki
호스트네트워크: 참
볼륨:
- 호스트 경로:
경로: /etc/kubernetes
이름: k8s
- 호스트 경로:
경로: /etc/ssl/certs
이름: 인증서
- 호스트 경로:
경로: /etc/pki
이름: pki
--authorization-mode 인수에 Node가 포함되어 있는지 확인하세요.
해결: 마스터 노드에서 API 서버 포드 사양 파일 /etc/kubernetes/manifests/kube-apiserver.yaml을 편집하고 --authorization-mode 매개 변수를 Node.js를 포함하는 값으로 설정합니다.
--authorization-mode=노드,RBAC
심사:
/bin/ps -ef | grep kube-apiserver | grep -v grep
예상 결과:
'노드,RBAC'에는 '노드'가 있습니다.
--profiling 인수가 false로 설정되어 있는지 확인하세요.
해결: 마스터 노드에서 API 서버 포드 사양 파일 /etc/kubernetes/manifests/kube-apiserver.yaml을 편집하고 아래 매개 변수를 설정합니다.
--프로파일링=false
심사:
/bin/ps -ef | grep kube-apiserver | grep -v grep
예상 결과:
'거짓'은 '거짓'과 같습니다
Kubelet에 대해 발견된 다음 위반 사항을 모두 수정합니다. - --anonymous-auth 인수가 false로 설정되어 있는지 확인합니다.
해결 방법: Kubelet 구성 파일을 사용하는 경우 파일을 편집하여 인증: 익명: 활성화를 false로 설정하세요. 실행 가능한 인수를 사용하는 경우 각 작업자 노드에서 kubelet 서비스 파일 /etc/systemd/system/kubelet.service.d/10-kubeadm.conf를 편집하고 KUBELET_SYSTEM_PODS_ARGS 변수에 아래 매개변수를 설정합니다.
--익명-인증=false
시스템에 따라 kubelet 서비스를 다시 시작합니다. 예를 들어:
systemctl 데몬 다시 로드
systemctl 재시작 kubelet.service
심사:
/bin/ps -fC kubelet
감사 구성:
/bin/cat /var/lib/kubelet/config.yaml
예상 결과:
'거짓'은 '거짓'과 같습니다
2) --authorization-mode 인수가 Webhook으로 설정되어 있는지 확인합니다.
심사
도커 검사 kubelet | jq -e '.[0].Args[] | match("--authorization-mode=Webhook").string' 반환 값: --authorization-mode=Webhook ETCD에 대해 발견된 다음 위반 사항을 모두 수정합니다.- a. --auto-tls 인수가 true로 설정되지 않았는지 확인하십시오. TLS에 자체 서명된 인증서를 사용하지 마십시오. etcd는 모든 REST API 객체의 영구 저장을 위해 Kubernetes 배포에서 사용되는 고가용성 키 값 저장소입니다. 이러한 개체는 본질적으로 민감하므로 인증되지 않은 클라이언트가 사용할 수 없어야 합니다. etcd 서비스에 대한 액세스를 보호하려면 유효한 인증서를 통해 클라이언트 인증을 활성화해야 합니다.
수정 - 빌드 시간
쿠버네티스
api버전: v1
종류: 포드
메타데이터:
주석:
Scheduler.alpha.kubernetes.io/tical-pod: ""
생성타임스탬프: null
라벨:
구성요소: etcd
계층: 제어 영역
이름: etcd
네임스페이스: kube-system
투기:
컨테이너:
- 명령:
+ - 기타
+ - --auto-tls=true
이미지: k8s.gcr.io/etcd-amd64:3.2.18
imagePullPolicy: IfNotPresent
활성 프로브:
실행:
명령:
- /bin/sh
- -ec
- ETCDCTL_API=3 etcdctl --endpoints=https://[192.168.22.9]:2379 --cacert=/etc/kubernetes/pki/etcd/ca.crt
--cert=/etc/kubernetes/pki/etcd/healthcheck-client.crt --key=/etc/kubernetes/pki/etcd/healthcheck-client.key get foo failureThreshold: 8 초기DelaySeconds: 15 timeoutSeconds: 15 이름: etcd -실패해야 함 리소스: {} VolumeMounts:
- 마운트 경로: /var/lib/etcd
이름: etcd-data
- 마운트 경로: /etc/kubernetes/pki/etcd
이름: etcd-certs
호스트네트워크: 참
PriorityClassName: 시스템 클러스터 중요
볼륨:
- 호스트 경로:
경로: /var/lib/etcd
유형: 디렉토리또는만들기
이름: etcd-data
- 호스트 경로:
경로: /etc/kubernetes/pki/etcd
유형: 디렉토리또는만들기
이름: etcd-certs
상태: {}
설명: