해결책(단계별) :
1. 최소 기본 이미지 선택:
- 작은 크기와 보안 기능으로 유명한 Alpine Linux와 같은 기본 이미지를 선택하세요.
- 최종 이미지의 크기를 최소화하기 위해 다단계 빌드를 사용합니다.
- 예:
도켓 파일
FROM alpine:3.16 빌더로서
# 필요한 종속성 설치
apk update && apk add --no-cache python3 python3-dev build-base를 실행합니다.

2. 보안 모범 사례: - 컨테이너 내부에서 루트가 아닌 사용자를 사용합니다. - 잠재적인 취약점을 최소화하기 위해 Dockerfile에서 '-no-cache'와 같은 보안 옵션을 활성화합니다. - 기본 이미지를 강화합니다. - 불필요한 패키지와 서비스를 제거합니다. - 불필요한 PON과 프로토콜을 비활성화합니다. - 파일과 디렉터리에 대한 적절한 권한을 설정합니다. - 예: dockeflle FROM alpine:3.16 as builder USER nonrootuser RUN apk update && apk add 0--no-cache python3 python3-dev build-base # ... Dockerfile의 나머지 부분 3. 배포 프로세스: - 사용자 지정 기본 이미지를 빌드합니다. - 기본 이미지를 개인 레지스트리에 푸시합니다. - 새 기본 이미지를 사용하도록 배포 YAML 파일을 업데이트합니다. - 예:

4. 테스트 및 모니터링: - 기본 이미지의 취약점을 정기적으로 검사합니다. - 컨테이너에서 의심스러운 활동을 모니터링합니다. - Falco 및 Clair와 같은 보안 도구를 사용합니다.

솔루션(단계별):
1. KubeLinter 설치: 공식 GitHub 저장소에서 'kubevar 바이너리'를 다운로드하여 설치합니다.
2. KubeLinter 구성 파일을 생성합니다. 프로젝트의 루트 디렉터리에 '.kubeval.yaml' 파일을 정의하여 사용자 지정 규칙이나 검사를 지정합니다. 예를 들어, 특정 검사를 비활성화하거나 직접 검사를 정의할 수 있습니다.

3. KubeLinter를 CI/CD 파이프라인에 통합하세요. Dockerfile에 대해 KubeLinter를 실행하는 단계를 파이프라인에 추가하세요. 이 단계는 Docket 파일이 수정될 때마다 실행되어야 합니다.

4. 문제가 발견되면 파이프라인을 실패하도록 KubeLinter를 구성합니다. 이렇게 하면 이미지가 Kubernetes 클러스터에 배포되기 전에 보안이나 호환성 문제가 해결됩니다.

5. KubeLinter에서 보고된 문제를 검토하고 해결합니다. KubeLinter의 출력을 분석하고 Dockerfile에 필요한 변경 사항을 적용하여 확인된 문제를 해결합니다.

피드백을 보내주세요.

참고: https://kubernetes.io/docs/concepts/policy/pod-security-policy/ https://cloud.google.com/architecture/best-practices-for-operating-containers

API 서버:
--authorization-mode 인수에 RBAC가 포함되어 있는지 확인하세요.
역할 기반 액세스 제어를 활성화하세요. 역할 기반 액세스 제어(RBAC)를 사용하면 여러 엔터티가 클러스터의 여러 객체에 대해 수행할 수 있는 작업을 세부적으로 제어할 수 있습니다. RBAC 권한 부여 모드를 사용하는 것이 좋습니다.
수정 - 빌드타임
쿠버네티스
api 버전: v1
종류: 포드
메타데이터:
creationTimestamp: null
라벨:
구성 요소: kube-apiserver
계층: 제어 평면
이름: kube-apiserver
네임스페이스: kube-system
투기:
컨테이너:
- 명령:
+ - kube-apiserver
+ - --authorization-mode=RBAC,노드
이미지: gcr.io/google_containers/kube-apiserver-amd64:v1.6.0
라이브니스 프로브:
실패 임계값: 8
httpGet:
호스트: 127.0.0.1
경로: /healthz
포트: 6443
스키마: HTTPS
초기 지연 초: 15
시간 초과 초: 15
이름: kube-apiserver-should-pass
자원:
요청:
CPU: 250m
볼륨마운트:
- 마운트 경로: /etc/kubernetes/
이름: k8s
읽기 전용: 참
- 마운트 경로: /etc/ssl/certs
이름: 인증서
- mountPath: /etc/pki
이름: pki
호스트 네트워크: true
볼륨:
- 호스트 경로:
경로: /etc/kubernetes
이름: k8s
- 호스트 경로:
경로: /etc/ssl/certs
이름: 인증서
- 호스트 경로:
경로: /etc/pki
이름: pki
--authorization-mode 인수에 Node가 포함되어 있는지 확인하세요.
수정: 마스터 노드에서 API 서버 포드 사양 파일 /etc/kubernetes/manifests/kube-apiserver.yaml을 편집하고 --authorization-mode 매개변수를 Node.js를 포함하는 값으로 설정합니다.
--authorization-mode=노드, RBAC
심사:
/bin/ps -ef | grep kube-apiserver | grep -v grep
기대 결과:
'Node, RBAC'에는 'Node'가 있습니다.
--profiling 인수가 false로 설정되어 있는지 확인하세요.
해결 방법: 마스터 노드에서 API 서버 Pod 사양 파일 /etc/kubernetes/manifests/kube-apiserver.yaml을 편집하고 아래 매개변수를 설정합니다.
--프로파일링=거짓
심사:
/bin/ps -ef | grep kube-apiserver | grep -v grep
기대 결과:
'false'는 'false'와 같습니다.
Kubelet에서 발견된 다음 위반 사항을 모두 수정하세요. --anonymous-auth 인수가 false로 설정되어 있는지 확인하세요.
해결 방법: Kubelet 구성 파일을 사용하는 경우, 해당 파일을 편집하여 authentication: anonymous: enabled를 false로 설정합니다. 실행 가능한 인수를 사용하는 경우, 각 워커 노드의 Kubelet 서비스 파일 /etc/systemd/system/kubelet.service.d/10-kubeadm.conf를 편집하고 KUBELET_SYSTEM_PODS_ARGS 변수에 아래 매개변수를 설정합니다.
--익명-인증=거짓
시스템에 따라 kubelet 서비스를 다시 시작하세요. 예:
systemctl 데몬 다시 로드
systemctl 재시작 kubelet.service
심사:
/bin/ps -fC 쿠벨렛
감사 구성:
/bin/cat /var/lib/kubelet/config.yaml
기대 결과:
'false'는 'false'와 같습니다.
2) --authorization-mode 인수가 Webhook으로 설정되어 있는지 확인하세요.
심사
docker inspect kubelet | jq -e '.[0].Args[] | match("--authorization-mode=Webhook").string' 반환 값: --authorization-mode=Webhook ETCD에서 발견된 다음 모든 위반 사항을 수정하십시오. a. --auto-tls 인수가 true로 설정되어 있지 않은지 확인하십시오. TLS에 자체 서명된 인증서를 사용하지 마십시오. etcd는 Kubernetes 배포에서 모든 REST API 객체를 영구적으로 저장하는 데 사용되는 고가용성 키 값 저장소입니다. 이러한 객체는 본질적으로 민감하므로 인증되지 않은 클라이언트가 사용할 수 없어야 합니다. etcd 서비스에 대한 액세스를 보호하려면 유효한 인증서를 통해 클라이언트 인증을 활성화해야 합니다.
수정 - 빌드타임
쿠버네티스
api 버전: v1
종류: 포드
메타데이터:
주석:
스케줄러.알파.쿠버네티스.io/크리티컬-포드: ""
creationTimestamp: null
라벨:
구성 요소: etcd
계층: 제어 평면
이름: etcd
네임스페이스: kube-system
투기:
컨테이너:
- 명령:
+ - 등
+ - --자동-tls=참
이미지: k8s.gcr.io/etcd-amd64:3.2.18
imagePullPolicy: IfNotPresent
라이브니스 프로브:
임원:
명령:
- /bin/sh
- -ec
- ETCDCTL_API=3 etcdctl --엔드포인트=https://[192.168.22.9]:2379 --cacert=/etc/kubernetes/pki/etcd/ca.crt
--cert=/etc/kubernetes/pki/etcd/healthcheck-client.crt --key=/etc/kubernetes/pki/etcd/healthcheck-client.key get foo failureThreshold: 8 initialDelaySeconds: 15 timeoutSeconds: 15 name: etcd-should-fail resources: {} volumeMounts:
- 마운트 경로: /var/lib/etcd
이름: etcd-data
- mountPath: /etc/kubernetes/pki/etcd
이름: etcd-certs
호스트 네트워크: true
priorityClassName: 시스템 클러스터 중요
볼륨:
- 호스트 경로:
경로: /var/lib/etcd
유형: DirectoryOrCreate
이름: etcd-data
- 호스트 경로:
경로: /etc/kubernetes/pki/etcd
유형: DirectoryOrCreate
이름: etcd-certs
상태: {}