卡巴斯基容器安全

在检查节点是否符合 Kubernetes 基准后，卡巴斯基容器安全可以显示与安全要求相关的建议，例如：

• 控制平面组件。
  • 控制平面节点配置文件。
    • 确保将 API 服务器 pod 规范文件的权限设置为 644 或更严格。
    • 确保将 API 服务器 pod 规范文件的所有权设置为 root:root。
  • API 服务器。
    • 确保将 --anonymous-auth 参数设置为 false。
    • 确保未设置 --token-auth-file 参数。
  • 控制器管理器。
    • 确保为 --terminated-pod-gc-threshold 参数设置适当的值。
    • 确保将 --profiling 参数设置为 false。
• etcd。
  • 确保为 --cert-file 和 --key-file 参数设置适当的值。
  • 确保将 --client-cert-auth 参数设置为 true。
• 控制平面配置。
  • 身份验证和授权。
    • 不应使用客户端证书身份验证方式来认证用户。
  • 日志记录。
    • 确保创建最小审计策略。
    • 确保审计策略涵盖关键的安全问题。
• 工作节点。
  • 工作节点配置文件。
    • 确保将 kubelet 服务文件的权限设置为 644 或更多限制。
    • 确保将 kubelet 服务文件的所有权设置为 root:root。
• 策略。
  • 基于角色的访问控制和账户
    • 确保仅在需要时使用 cluster-admin 角色。
    • 尽量减少对机密的访问。
  • Pod 安全策略
    • 最小化特权容器准入。
  • 网络策略和容器网络接口 (CNI)
    • 确保使用中的 CNI 支持网络策略。
    • 确保所有命名空间都已定义网络策略。
  • 机密管理
    • 更倾向于将机密作为文件而非环境变量使用。
    • 考虑外部机密存储。

  .