귀하의 제안을 보내주세요

se kubectl을 사용하여 CSR을 만들고 승인합니다.
CSR 목록을 받으세요:
kubectl csr 얻기
CSR 승인:
kubectl 인증서 승인 myuser
인증서를 받으세요
CSR에서 인증서를 검색합니다.
kubectl get csr/myuser -o yaml
다음은 John에게 NEW_CRD 리소스를 생성할 수 있는 권한을 부여하는 역할과 역할 바인딩입니다.
kubectl 적용 -f roleBindingJohn.yaml --as=john
rolebinding.rbac.authorization.k8s.io/john_external-rosource-rb 생성 종류: RoleBinding apiVersion: rbac.authorization.k8s.io/v1 메타데이터:
이름: john_crd
네임스페이스: development-john
과목:
- 종류 : 사용자
이름: 존
api그룹: rbac.authorization.k8s.io
roleRef:
종류: ClusterRole
이름: crd-creation
종류: ClusterRole
api 버전: rbac.authorization.k8s.io/v1
메타데이터:
이름: crd-creation
규칙:
- api그룹: ["kubernetes-client.io/v1"]
리소스: ["NEW_CRD"]
동사: ["생성하다, 나열하다, 얻다"]

$vim /etc/falco/falco_rules.local.yaml
- 규칙: 컨테이너 드리프트 감지(열기+생성)
desc: open+create로 인해 컨테이너에 새로운 실행 파일이 생성됨
상태: >
evt.type(open,openat,creat) 및
evt.is_open_exec=true 및
컨테이너 및
runc_writing_exec_fifo가 아니고
runc_writing_var_lib_docker가 아니고
user_known_container_drift_activities가 아니고
이벤트.원본수>=0
출력: >
%evt.time,%user.uid,%proc.name # 이것을 추가하세요/falco 문서를 참조하세요
우선순위: 오류
$kill -1 <Falco의 PID>
설명
[desk@cli] $ ssh node01 [node01@cli] $ vim /etc/falco/falco_rules.yaml 컨테이너 드리프트가 감지되었는지 검색하여 falco_rules.local.yaml에 붙여넣습니다. [node01@cli] $ vim /etc/falco/falco_rules.local.yaml
- 규칙: 컨테이너 드리프트 감지(열기+생성)
desc: open+create로 인해 컨테이너에 새로운 실행 파일이 생성됨
상태: >
evt.type(open,openat,creat) 및
evt.is_open_exec=true 및
컨테이너 및
runc_writing_exec_fifo가 아니고
runc_writing_var_lib_docker가 아니고
user_known_container_drift_activities가 아니고
이벤트.원본수>=0
출력: >
%evt.time,%user.uid,%proc.name # 이것을 추가하세요/falco 문서를 참조하세요
우선순위: 오류
[node01@cli] $ vim /etc/falco/falco.yaml

모든 포드/배포를 찾아 사양에 따라 신뢰할 수 없는 runtimeClassName 매개변수를 편집합니다.
[desk@cli] $ k 편집 nginx 배포
투기:
runtimeClassName: 신뢰할 수 없음. # 이것을 추가하세요
설명
[desk@cli] $vim 런타임.yaml
api 버전: node.k8s.io/v1
종류: RuntimeClass
메타데이터:
이름: 신뢰할 수 없음
핸들러: runsc
[desk@cli] $ k 적용 -f 런타임.yaml
[desk@cli] $ k 포드 가져오기
이름 준비 상태 재시작 연령
nginx-6798fc88e8-chp6r 1/1 실행 0 11m
nginx-6798fc88e8-fs53n 1/1 실행 0 11m
nginx-6798fc88e8-ndved 1/1 실행 0 11m
[desk@cli] $ k 배포하기
이름 준비됨 최신 가능 연령
nginx 3/3 11 3 5m
[desk@cli] $ k 편집 nginx 배포

kubesec 스캔 k8s-deployment.yaml
고양이 <<EOF > kubesec-test.yaml
api버전: v1
종류: 포드
메타데이터:
이름: kubesec-demo
투기:
컨테이너:
- 이름: kubesec-demo
이미지: gcr.io/google-samples/node-hello:1.0
보안 컨텍스트:
readOnlyRootFilesystem: true
종료
kubesec 스캔 kubesec-test.yaml
docker run -i kubesec/kubesec:512c5e0 /dev/stdin 스캔 < kubesec-test.yaml kubesec http 8080 &
[1] 12345
{"severity":"info","timestamp":"2019-05-12T11:58:34.662+0100","caller":"server/server.go:69","message":"포트 8080에서 HTTP 서버 시작"} curl -sSX POST --data-binary @test/asset/score-0-cap-sys-admin.yml http://localhost:8080/scan
[
{
"object": "Pod/security-context-demo.default",
"유효": 참,
"message": "-30점으로 실패했습니다",
"점수": -30,
"점수": {
"비판적인": [
{
"선택기": "컨테이너[] .securityContext .capabilities .add == SYS_ADMIN",
"reason": "CAP_SYS_ADMIN은 가장 권한이 높은 기능이므로 항상 피해야 합니다."
},
{
"선택기": "컨테이너[] .securityContext .runAsNonRoot == true",
"reason": "최소 권한을 보장하기 위해 실행 중인 이미지를 루트가 아닌 사용자로 실행하도록 강제합니다."
},
// ...