1.36 CIS Kubernetes ベンチマーク

インターネットセキュリティセンター（ CIS ）は、「 CIS 」 Kubernetes ベンチマークを公開しています。これは、 Kubernetes をより安全に設定するための具体的な手順の枠組みであり、さまざまな業界規制に見合った基準に基づいています。 このドキュメントには、バージョン 1.12 CIS Kubernetes のベンチマーク結果が記載されています。このベンチマークは、 Kubernetes バージョン 1.36 を実行するクラスタを対象としています。 詳細情報やベンチマークの理解に関するサポートについては、「 ベンチマークの使用方法 」を参照してください。

1 コントロールプレーンの構成要素

1.1 コントロールプレーンノードの設定ファイル

セクション 1.1 ：コントロールプレーンノードの設定ファイルに関するベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
1.1.1 API サーバーのポッド指定ファイルのアクセス権が 644 またはこれより制限が厳しい値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.2 API サーバーのポッド指定ファイルの所有権が root:root に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.3 コントローラー・マネージャーのポッド指定ファイルのアクセス権が 644 またはこれより制限が厳しい値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.4 コントローラー・マネージャーのポッド指定ファイルの所有権が root:root に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.5 スケジューラーのポッド指定ファイルのアクセス権が 644 またはこれより制限が厳しい値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.6 スケジューラーのポッド指定ファイルの所有権が root:root に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.7 etcd のポッド指定ファイルのアクセス権が 644 またはこれより制限が厳しい値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.8 etcd のポッド指定ファイルの所有権が root:root に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.9 コンテナー・ネットワーク・インターフェース・ファイルのアクセス権が 644 またはこれより制限が厳しい値に設定されていることを確認します。 スコア対象外 1 合格 IBM
1.1.10 コンテナー・ネットワーク・インターフェース・ファイルの所有権が root:root に設定されていることを確認します。 スコア対象外 1 合格 IBM
1.1.11 etcd データ・ディレクトリーのアクセス権が 700 またはこれより制限が厳しい値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.12 etcd データ・ディレクトリーの所有権が etcd:etcd に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.13 admin.conf ファイルのアクセス権が 644 またはこれより制限が厳しい値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.14 admin.conf ファイルの所有権が root:root に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.15 scheduler.conf ファイルのアクセス権が 644 またはこれより制限が厳しい値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.16 scheduler.conf ファイルの所有権が root:root に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.17 controller-manager.conf ファイルのアクセス権が 644 またはこれより制限が厳しい値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.18 controller-manager.conf ファイルの所有権が root:root に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.19 Kubernetes PKI ディレクトリーおよびファイルの所有権が root:root に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.20 Kubernetes PKI 証明書ファイルのアクセス権が 644 またはこれより制限が厳しい値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.1.21 Kubernetes PKI 鍵ファイルのアクセス権が 600 に設定されていることを確認します。 スコア対象 1 合格 IBM

1.2 API サーバー

セクション 1.2: API サーバーのベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
1.2.1 --anonymous-auth 引数が false に設定されていることを確認します。 スコア対象外 1 不合格 IBM
1.2.2 --token-auth-file パラメーターが設定されていないことを確認します。 スコア対象 1 合格 IBM
1.2.3 --DenyServiceExternalIPs が設定されていることを確認してください。 スコア対象外 1 合格 IBM
1.2.4 --kubelet-client-certificate 引数と --kubelet-client-key 引数が適切な値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.2.5 --kubelet-certificate-authority 引数が適切な値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.2.6 --authorization-mode 引数が AlwaysAllow に設定されていないことを確認します。 スコア対象 1 合格 IBM
1.2.7 --authorization-mode 引数に Node が含まれていることを確認してください。 スコア対象 1 合格 IBM
1.2.8 --authorization-mode 引数にRBACが含まれていることを確認してください。 スコア対象 1 合格 IBM
1.2.9 アドミッション制御プラグインが EventRateLimit に設定されていることを確認します。 スコア対象外 1 不合格 IBM
1.2.10 アドミッション制御プラグインが AlwaysAdmit に設定されていないことを確認します。 スコア対象 1 合格 IBM
1.2.11 アドミッション制御プラグインが AlwaysPullImages に設定されていることを確認します。 スコア対象外 1 不合格 IBM
1.2.12 アドミッション制御プラグインが ServiceAccount に設定されていることを確認します。 スコア対象 2 合格 IBM
1.2.13 アドミッション制御プラグインが NamespaceLifecycle に設定されていることを確認します。 スコア対象 2 合格 IBM
1.2.14 アドミッション制御プラグインが NodeRestriction に設定されていることを確認します。 スコア対象 2 合格 IBM
1.2.15 --profiling 引数が false に設定されていることを確認します。 スコア対象 1 合格 IBM
1.2.16 --audit-log-path 引数が設定されていることを確認します。 スコア対象 1 不合格 共有
1.2.17 --audit-log-maxage 引数が 30 または適切な値に設定されていることを確認します。 スコア対象 1 不合格 共有
1.2.18 --audit-log-maxbackup 引数が 10 または適切な値に設定されていることを確認します。 スコア対象 1 不合格 共有
1.2.19 --audit-log-maxsize 引数が 100 または適切な値に設定されていることを確認します。 スコア対象 1 不合格 共有
1.2.20 --request-timeout 引数が適切な値に設定されていることを確認します。 スコア対象外 1 合格 IBM
1.2.21 --service-account-lookup 引数が true に設定されていることを確認します。 スコア対象 1 合格 IBM
1.2.22 --service-account-key-file 引数が適切な値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.2.23 --etcd-certfile 引数と --etcd-keyfile 引数が適切な値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.2.24 --tls-cert-file 引数と --tls-private-key-file 引数が適切な値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.2.25 --client-ca-file 引数が適切な値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.2.26 --etcd-cafile 引数が適切な値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.2.27 --encryption-provider-config 引数が適切な値に設定されていることを確認します。 スコア対象外 1 不合格 共有
1.2.28 暗号化プロバイダーが適切に構成されていることを確認します。 スコア対象外 1 不合格 共有
1.2.29 API サーバーで強力な暗号方式のみが使用されていることを確認します。 スコア対象外 1 合格 IBM
1.2.30 --service-account-extend-token-expiration パラメータが false に設定されていることを確認してください。 スコア対象 1 不合格 IBM

1.3 コントローラー・マネージャー

セクション 1.3: コントローラー・マネージャーのベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
1.3.1 --terminated-pod-gc-threshold 引数が適切な値に設定されていることを確認します。 スコア対象外 1 合格 IBM
1.3.2 --profiling 引数が false に設定されていることを確認します。 スコア対象 1 合格 IBM
1.3.3 --use-service-account-credentials 引数が true に設定されていることを確認します。 スコア対象 1 合格 IBM
1.3.4 --service-account-private-key-file 引数が適切な値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.3.5 --root-ca-file 引数が適切な値に設定されていることを確認します。 スコア対象 1 合格 IBM
1.3.6 RotateKubeletServerCertificate 引数が true に設定されていることを確認します。 スコア対象 1 成功 IBM
1.3.7 --bind-address 引数が 127.0.0.1 に設定されていることを確認します。 スコア対象 1 不合格 IBM

1.4 スケジューラー

セクション 1.4: スケジューラーのベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
1.4.1 --profiling 引数が false に設定されていることを確認します。 スコア対象 1 合格 IBM
1.4.2 --bind-address 引数が 127.0.0.1 に設定されていることを確認します。 スコア対象 1 不合格 IBM

2 など

第2節 Etcdのベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
2.1 --cert-file 引数と --key-file 引数が適切な値に設定されていることを確認します。 スコア対象 1 合格 IBM
2.2 --client-cert-auth 引数が true に設定されていることを確認します。 スコア対象 1 合格 IBM
2.3 --auto-tls 引数が true に設定されていないことを確認します。 スコア対象 1 合格 IBM
2.4 --peer-cert-file 引数と --peer-key-file 引数が適切な値に設定されていることを確認します。 スコア対象 1 合格 IBM
2.5 --peer-client-cert-auth 引数が true に設定されていることを確認します。 スコア対象 1 合格 IBM
2.6 --peer-auto-tls 引数が true に設定されていないことを確認します。 スコア対象 1 合格 IBM
2.7 etcd に対して固有の認証局が使用されていることを確認します。 スコア対象外 2 合格 IBM

3 コントロール・プレーンの構成

3.1 認証および許可

セクション 3.1: 認証と許可のベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
3.1.1 クライアント証明書認証をユーザーに使用してはいけません。 スコア対象外 2 合格 共有

3.2 ロギング

セクション 3.2: ロギングのベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
3.2.1 最小限の監査ポリシーが作成されていることを確認します。 スコア対象 1 不合格 共有
3.2.2 監査ポリシーが主要なセキュリティー上の問題をカバーしていることを確認します。 スコア対象外 2 不合格 共有

4つのワーカーノード

4.1 ワーカー・ノードの構成ファイル

セクション 4.1: ワーカー・ノード構成ファイルのベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
4.1.1 kubelet サービスのファイル権限が「 600 」またはそれよりも制限の厳しい設定になっていることを確認してください。 スコア対象 1 合格 IBM
4.1.2 kubelet サービス・ファイルの所有権が root:root に設定されていることを確認します。 スコア対象 1 合格 IBM
4.1.3 kubeconfig というプロキシファイルが存在する場合は、アクセス権限が「 600 」またはそれより制限の厳しい設定になっていることを確認してください。 スコア対象外 1 合格 IBM
4.1.4 kubeconfig というプロキシファイルが存在する場合は、その所有権が root:root に設定されていることを確認してください。 スコア対象外 1 合格 IBM
4.1.5 「kubeconfig kubelet.conf 」ファイルのアクセス権が「 600 」またはそれ以上に制限された設定になっていることを確認してください。 スコア対象 1 合格 IBM
4.1.6 「kubeconfig kubelet.conf 」ファイルの所有権が「 root:root 」に設定されていることを確認してください。 スコア対象 1 合格 IBM
4.1.7 認証局ファイルのアクセス権が 644 またはこれより制限が厳しい値に設定されていることを確認します。 スコア対象外 1 合格 IBM
4.1.8 クライアント認証局ファイルの所有権が root:root に設定されていることを確認します。 スコア対象外 1 合格 IBM
4.1.9 kubeletの config.yaml 設定ファイルを使用している場合は、権限が 600 に設定されているか、あるいはそれよりも制限が厳しい設定になっているかを確認してください。 スコア対象 1 合格 IBM
4.1.10 kubeletの config.yaml 設定ファイルを使用している場合は、ファイルの所有権が root:root に設定されていることを確認してください。 スコア対象 1 合格 IBM

4.2 Kubelet

セクション 4.2: Kubelet のベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
4.2.1 --anonymous-auth 引数が false に設定されていることを確認します。 スコア対象 1 合格 IBM
4.2.2 --authorization-mode 引数が AlwaysAllow に設定されていないことを確認します。 スコア対象 1 合格 IBM
4.2.3 --client-ca-file 引数が適切な値に設定されていることを確認します。 スコア対象 1 合格 IBM
4.2.4 readOnlyPort が定義されている場合は、その値が 0`` に設定されていることを確認してください。 スコア対象外 1 合格 IBM
4.2.5 --streaming-connection-idle-timeout 引数が 0 に設定されていないことを確認します。 スコア対象外 1 合格 IBM
4.2.6 --make-iptables-util-chains 引数が true に設定されていることを確認します。 スコア対象 1 合格 IBM
4.2.7 --hostname-override 引数が設定されていないことを確認します。 スコア対象外 1 不合格 IBM
4.2.8 eventRecordQPS 引数が、適切なイベントのキャプチャが保証されるレベルに設定されていることを確認してください。 スコア対象外 2 合格 IBM
4.2.9 --tls-cert-file 引数と --tls-private-key-file 引数が適切な値に設定されていることを確認します。 スコア対象外 1 合格 IBM
4.2.10 --rotate-certificates 引数が false に設定されていないことを確認します。 スコア対象 1 不合格 IBM
4.2.11 RotateKubeletServerCertificate 引数が true に設定されていることを確認してください。 スコア対象外 1 成功 IBM
4.2.12 Kubelet で強力な暗号方式のみが使用されていることを確認します。 スコア対象外 1 合格 IBM
4.2.13 PIDs ポッドに制限が設定されていることを確認してください。 スコア対象外 1 合格 IBM
4.2.14 --seccomp-default パラメータが true に設定されていることを確認してください。 スコア対象外 1 合格 IBM

4.3 Kube-proxy

セクション 4.3 の Kube-proxy ベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
4.3.1 kube-proxy のメトリクスサービスが localhost にバインドされていることを確認してください。 スコア対象 1 合格 IBM

5 方針

5.1 RBAC およびサービス・アカウント

セクション 5.1: RBAC およびサービス・アカウントのベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
5.1.1 cluster-admin ロールは、必要な場合のみ使用するようにしてください。 スコア対象外 1 合格 共有
5.1.2 シークレットへのアクセスを最小限に抑えます。 スコア対象外 1 不合格 共有
5.1.3 Roles および ClusterRoles でワイルドカードの使用を最小限に抑えます。 スコア対象外 1 不合格 共有
5.1.4 ポッドを作成するためのアクセスを最小限に抑えます。 スコア対象外 1 合格 共有
5.1.5 デフォルトのサービス・アカウントが積極的に使用されないようにします。 スコア対象外 1 不合格 共有
5.1.6 サービス・アカウント・トークンが必要な場所のみにマウントされていることを確認します。 スコア対象外 1 不合格 共有
5.1.7 「system:masters」グループの使用は避けてください。 スコア対象外 1 合格 共有
5.1.8 Kubernetes クラスタにおける「Bind」、「Impersonate」、「Escalate」の権限の使用を制限してください。 スコア対象外 1 合格 共有
5.1.9 パーシステントボリュームの作成に必要なアクセス権限を最小限に抑える。 スコア対象外 1 合格 共有
5.1.10 ノードのプロキシ・サブリソースへのアクセスを最小限に抑える。 スコア対象外 1 合格 共有
5.1.11 certificatesigningrequests オブジェクトの承認サブリソースへのアクセスを最小限に抑える。 スコア対象外 1 合格 共有
5.1.12 Webhookの設定オブジェクトへのアクセスを最小限に抑えてください。 スコア対象外 1 合格 共有
5.1.13 サービスアカウントのトークン作成へのアクセスを最小限に抑える。 スコア対象外 1 合格 共有

5.2 Podのセキュリティ基準

セクション 5.2 のPodセキュリティ基準に関するベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
5.2.1 特権コンテナーのアドミッションを最小限に抑えます。 スコア対象外 1 成功 共有
5.2.2 ホスト・プロセス ID の名前空間を共有することを希望しているコンテナーのアドミッションを最小限に抑えます。 スコア対象 1 成功 共有
5.2.3 ホスト IPC の名前空間を共有することを希望しているコンテナーのアドミッションを最小限に抑えます。 スコア対象 1 成功 共有
5.2.4 ホスト・ネットワークの名前空間を共有することを希望しているコンテナーのアドミッションを最小限に抑えます。 スコア対象 1 成功 共有
5.2.5 allowPrivilegeEscalation が設定されたコンテナーのアドミッションを最小限に抑えます。 スコア対象 1 成功 共有
5.2.6 ルート・コンテナーのアドミッションを最小限に抑えます。 スコア対象外 2 成功 共有
5.2.7 NET_RAW 機能を持つコンテナの受け入れを最小限に抑える。 スコア対象外 1 成功 共有
5.2.8 追加機能を持つコンテナーのアドミッションを最小限に抑えます。 スコア対象外 1 成功 共有
5.2.9 機能が割り当てられたコンテナーのアドミッションを最小限に抑えます。 スコア対象外 2 成功 共有
5.2.10 Windows HostProcess コンテナの受け入れを最小限に抑える。 スコア対象外 1 合格 共有
5.2.11 HostPath ボリュームの取り込みを最小限に抑える。 スコア対象外 1 合格 共有
5.2.12 HostPorts を使用するコンテナの受け入れを最小限に抑える。 スコア対象外 1 合格 共有

5.3 ネットワーク・ポリシーおよび CNI

セクション 5.3: ネットワーク・ポリシーと CNI のベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
5.3.1 使用中の CNI がネットワーク・ポリシーをサポートしていることを確認します。 スコア対象外 1 合格 IBM
5.3.2 すべての名前空間にネットワーク・ポリシーが設定されていることを確認します。 スコア対象外 2 不合格 共有

5.4 シークレット管理

セクション 5.4: シークレット管理のベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
5.4.1 シークレットを環境変数として使用する代わりに、シークレットをファイルとして使用します。 スコア対象外 2 合格 共有
5.4.2 外部シークレット・ストレージを検討します。 スコア対象外 2 不合格 共有

5.5 拡張可能アドミッション制御

セクション 5.5: 拡張可能なアドミッション制御のベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
5.5.1 ImagePolicyWebhook アドミッション・コントローラーを使用して Image Provenance を構成します。 スコア対象外 2 不合格 共有

5.6 一般ポリシー

セクション 5.6: 一般ポリシーのベンチマーク結果
セクション 推奨 得点した？ レベル 結果 責任
5.6.1 名前空間を使用してリソース間の管理境界を作成します。 スコア対象外 1 合格 共有
5.6.2 ポッド定義において、 seccomp プロファイルがdocker/defaultに設定されていることを確認してください。 スコア対象外 2 不合格 共有
5.6.3 ポッドとコンテナーにセキュリティー・コンテキストを適用します。 スコア対象外 2 不合格 共有
5.6.4 デフォルトの名前空間は使用しないでください。 スコア対象外 2 不合格 共有

IBM 修正処置と説明

セクション IBM の是正措置および説明に関するベンチマーク結果
セクション 是正措置と説明
1.2.1 IBM クラスタ保護にはRBACを採用していますが、匿名による検出を許可しています。これは、 CIS の「 Kubernetes Benchmark 」によれば妥当な措置とされています。
1.2.9 IBM これは、 EventRateLimitKubernetes のアルファ機能であるため、アドミッションコントローラーは有効になりません。
1.2.11 IBM この設定は、 AlwaysPullImages コンテナの _imagePullPolicy_ を上書きし、パフォーマンスに影響を与える可能性があるため、アドミッションコントローラーは有効になりません。
1.2.16 IBM 必要に応じて、 Kubernetes API サーバーの監査機能を有効に することができます。
1.2.17 IBM 必要に応じて、 Kubernetes API サーバーの監査機能を有効に することができます。
1.2.18 IBM 必要に応じて、 Kubernetes API サーバーの監査機能を有効に することができます。
1.2.19 IBM 必要に応じて、 Kubernetes API サーバーの監査機能を有効に することができます。
1.2.27 IBM 必要に応じて、 Kubernetes のキー管理サービス（KMS）プロバイダーを有効に することができます。
1.2.28 IBM 必要に応じて、 Kubernetes のキー管理サービス（KMS）プロバイダーを有効に することができます。
1.2.30 この機能を無効にすると、トークンのTTLがより長いことを前提としているワークロードに支障をきたす可能性があるため、お客様が対応できるよう、当面の間有効のままにしておきます。
1.3.6 IBM 各ワーカーノードのリロードまたは更新のたびに、証明書をローテーションします。
1.3.7 コントローラマネージャのIPアドレスを 127.0.0.1 に限定することはできません。 IBM の設定は、そのサーバーに対してヘルスチェックを実行するために必要です。 これは、顧客に対して公的にも私的にも開示されることはありません。
1.4.2 スケジューラの IP アドレスを 127.0.0.1 に限定することはできません。 IBM の設定は、そのサーバーに対してヘルスチェックを実行するために必要です。 これは、顧客に対して公的にも私的にも開示されることはありません。
3.2.1 IBM 必要に応じて、 Kubernetes API サーバーの監査機能を有効に することができます。
3.2.2 IBM 必要に応じて、 Kubernetes API サーバーの監査機能を有効に することができます。
4.2.7 IBM ホスト名が、インフラストラクチャから割り当てられた名前と一致することを保証します。
4.2.10 IBM 各ワーカーノードのリロードまたは更新のたびに、証明書をローテーションします。
4.2.11 IBM 各ワーカーノードのリロードまたは更新のたびに、証明書をローテーションします。
5.1.2 IBM 一部のシステムコンポーネントを展開しますが、これらのコンポーネントの「 Kubernetes 」シークレットへのアクセスは、さらに制限される可能性があります。
5.1.3 IBM Kubernetes リソースへのアクセスがさらに制限される可能性のあるシステムコンポーネントをいくつか展開します。
5.1.5 IBM 各デフォルトのアカウントに対して、 [_automountServiceAccountToken: false_](https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/#use-the-default-service-account-to-access-the-api-server){: external} を設定しません。
5.1.6 IBM [_automountServiceAccountToken: false_]() を設定する可能性のあるシステムコンポーネントをいくつか展開します。https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/#use-the-default-service-account-to-access-the-api-server
5.2.1 IBM オプションで、 Podのセキュリティアドミッション を設定できます。これは、サポートされていない Kubernetes のPodセキュリティポリシー と類似しています。
5.2.2 IBM オプションで、 Podのセキュリティアドミッション を設定できます。これは、サポートされていない Kubernetes のPodセキュリティポリシー と類似しています。
5.2.3 IBM オプションで、 Podのセキュリティアドミッション を設定できます。これは、サポートされていない Kubernetes のPodセキュリティポリシー と類似しています。
5.2.4 IBM オプションで、 Podのセキュリティアドミッション を設定できます。これは、サポートされていない Kubernetes のPodセキュリティポリシー と類似しています。
5.2.5 IBM オプションで、 Podのセキュリティアドミッション を設定できます。これは、サポートされていない Kubernetes のPodセキュリティポリシー と類似しています。
5.2.6 IBM オプションで、 Podのセキュリティアドミッション を設定できます。これは、サポートされていない Kubernetes のPodセキュリティポリシー と類似しています。
5.2.7 IBM オプションで、 Podのセキュリティアドミッション を設定できます。これは、サポートされていない Kubernetes のPodセキュリティポリシー と類似しています。
5.2.8 IBM オプションで、 Podのセキュリティアドミッション を設定できます。これは、サポートされていない Kubernetes のPodセキュリティポリシー と類似しています。
5.2.9 IBM オプションで、 Podのセキュリティアドミッション を設定できます。これは、サポートされていない Kubernetes のPodセキュリティポリシー と類似しています。
5.3.2 IBM 「 Calico 」および「 Kubernetes 」のネットワークポリシーがデフォルトで定義されています と という一連のページがあります。 必要に応じて、追加のネットワークポリシーを追加することも可能です
5.4.2 IBM 必要に応じて、 Secrets Manager サービスを有効に することができます。
5.5.1 IBM 必要に応じて、 画像のセキュリティ対策の適用を有効に することができます。
5.6.2 IBM すべてのポッドに seccomp プロファイルの注釈を付与するわけではありません。
5.6.3 IBM ポッドまたはコンテナ securityContext を設定しない一部のシステムコンポーネントを展開します。
5.6.4 IBM は、いくつかの Kubernetes リソースをデフォルトの名前空間にデプロイします。