CKS 문제 31
john이라는 사용자를 만들고, CSR 요청을 만들고, 승인 후 사용자의 인증서를 가져옵니다.
네임스페이스 john의 비밀과 포드를 나열하려면 john-role이라는 역할 이름을 만듭니다.
마지막으로, john-role-binding이라는 이름의 RoleBinding을 생성하여 새로 생성된 john-role 역할을 john 네임스페이스의 사용자 john에 연결합니다. 확인 방법: kubectl auth CLI 명령을 사용하여 권한을 확인합니다.
네임스페이스 john의 비밀과 포드를 나열하려면 john-role이라는 역할 이름을 만듭니다.
마지막으로, john-role-binding이라는 이름의 RoleBinding을 생성하여 새로 생성된 john-role 역할을 john 네임스페이스의 사용자 john에 연결합니다. 확인 방법: kubectl auth CLI 명령을 사용하여 권한을 확인합니다.
CKS 문제 32
클라우드 제공업체에서 실행되는 Kubernetes 클러스터를 사용하고 있습니다. 기반 클라우드 인프라의 보안에 대해 우려하고 있습니다. Kubernetes 보안 기능과 클라우드 제공업체 보안 서비스를 사용하여 클라우드 인프라와 관련된 위험을 평가하고 완화할 수 있는 방법을 설명해 주세요.
CKS 문제 33
시뮬레이션
구성을 통해 모든 문제를 해결하고 영향을 받은 구성 요소를 다시 시작하여 새로운 설정이 적용되도록 하세요.
API 서버에서 발견된 다음 위반 사항을 모두 수정하세요. a. RotateKubeletServerCertificate 인수가 true로 설정되어 있는지 확인하세요.
b. 입장 제어 플러그인 PodSecurityPolicy가 설정되어 있는지 확인하세요.
c. --kubelet-certificate-authority 인수가 적절하게 설정되었는지 확인하세요.
Kubelet에서 발견된 다음 위반 사항을 모두 수정하세요. a. --anonymous-auth 인수가 false로 설정되어 있는지 확인하세요.
b. --authorization-mode 인수가 Webhook으로 설정되어 있는지 확인하세요.
ETCD에서 발견된 다음 위반 사항을 모두 수정하세요.
a. --auto-tls 인수가 true로 설정되지 않았는지 확인하십시오.
b. --peer-auto-tls 인수가 true로 설정되지 않았는지 확인하십시오.
힌트: Tool Kube-Bench를 활용하세요
구성을 통해 모든 문제를 해결하고 영향을 받은 구성 요소를 다시 시작하여 새로운 설정이 적용되도록 하세요.
API 서버에서 발견된 다음 위반 사항을 모두 수정하세요. a. RotateKubeletServerCertificate 인수가 true로 설정되어 있는지 확인하세요.
b. 입장 제어 플러그인 PodSecurityPolicy가 설정되어 있는지 확인하세요.
c. --kubelet-certificate-authority 인수가 적절하게 설정되었는지 확인하세요.
Kubelet에서 발견된 다음 위반 사항을 모두 수정하세요. a. --anonymous-auth 인수가 false로 설정되어 있는지 확인하세요.
b. --authorization-mode 인수가 Webhook으로 설정되어 있는지 확인하세요.
ETCD에서 발견된 다음 위반 사항을 모두 수정하세요.
a. --auto-tls 인수가 true로 설정되지 않았는지 확인하십시오.
b. --peer-auto-tls 인수가 true로 설정되지 않았는지 확인하십시오.
힌트: Tool Kube-Bench를 활용하세요
CKS 문제 34
네임스페이스에서 권한이 있는 포드가 생성되는 것을 방지하는 PSP를 만듭니다.
특권이 있는 Pod 생성을 방지하는 prevent-privileged-policy라는 이름의 새로운 PodSecurityPolicy를 만듭니다.
default 네임스페이스에 psp-sa라는 이름의 새 ServiceAccount를 만듭니다.
새로 생성된 Pod 보안 정책 prevent-privileged-policy를 사용하는 prevent-role이라는 이름의 새 ClusterRole을 생성합니다.
prevent-role-binding이라는 이름의 새로운 ClusterRoleBinding을 만듭니다. 이 생성한 ClusterRole prevent-role을 생성된 SA psp-sa에 바인딩합니다.
또한, 권한이 있는 포드를 만들어서 구성이 제대로 작동하는지 확인하세요. 실패해야 합니다.
특권이 있는 Pod 생성을 방지하는 prevent-privileged-policy라는 이름의 새로운 PodSecurityPolicy를 만듭니다.
default 네임스페이스에 psp-sa라는 이름의 새 ServiceAccount를 만듭니다.
새로 생성된 Pod 보안 정책 prevent-privileged-policy를 사용하는 prevent-role이라는 이름의 새 ClusterRole을 생성합니다.
prevent-role-binding이라는 이름의 새로운 ClusterRoleBinding을 만듭니다. 이 생성한 ClusterRole prevent-role을 생성된 SA psp-sa에 바인딩합니다.
또한, 권한이 있는 포드를 만들어서 구성이 제대로 작동하는지 확인하세요. 실패해야 합니다.
CKS 문제 35
여러 개의 쿠버네티스 클러스터를 운영하는 상황을 상상해 보세요. 중앙 집중식 이미지 레지스트리의 이미지만 모든 클러스터에 배포되도록 허용하여 안전한 공급망을 구축하려고 합니다. 이를 달성하는 방법을 설명하세요.
