4.21 CIS Kubernetes Benchmark
Das Center for Internet Security ( CIS ) veröffentlicht den „ CIS “(Kubernetes) als Rahmenwerk mit konkreten Schritten zur sichereren Konfiguration von Kubernetes unter Einhaltung von Standards, die den verschiedenen Branchenvorschriften entsprechen. Dieses Dokument enthält die Ergebnisse des Benchmark-Tests „ 1.12 “ ( CIS ) und „ Kubernetes “ für Cluster, auf denen „ Red Hat OpenShift on IBM Cloud “ in der Version „ 4.21 “ ausgeführt wird. Weitere Informationen oder Hilfe zum Verständnis des Benchmarks finden Sie unter „ Verwendung des Benchmarks “.
1 Sicherheitskonfiguration der Steuerungsebene
1.1 Konfigurationsdateien für die Control-Plane- Node
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 1.1.1 | Stellen Sie sicher, dass die Berechtigungen für die Pod-Spezifikationsdatei des API-Servers auf „ 600 “ oder restriktiver festgelegt sind. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.2 | Stellen Sie sicher, dass das Eigentumsrecht der Pod-Spezifikationsdatei für den API-Server auf root:root gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.3 | Stellen Sie sicher, dass die Berechtigungen für die Pod-Spezifikationsdatei des Controller-Managers auf „ 600 “ oder restriktiver festgelegt sind. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.4 | Stellen Sie sicher, dass das Eigentumsrecht der Pod-Spezifikationsdatei für den Controller-Manager auf root:root gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.5 | Stellen Sie sicher, dass die Berechtigungen für die Pod-Spezifikationsdatei des Schedulers auf „ 600 “ oder restriktiver festgelegt sind. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.6 | Stellen Sie sicher, dass das Eigentumsrecht der Pod-Spezifikationsdatei für den Scheduler auf root:root gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.7 | Stellen Sie sicher, dass die Berechtigungen für die Pod-Spezifikationsdatei „ etcd “ auf „ 600 “ oder restriktiver eingestellt sind. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.8 | Stellen Sie sicher, dass das Eigentumsrecht der Pod-Spezifikationsdatei für 'etcd' auf root:root gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.9 | Stellen Sie sicher, dass die Dateiberechtigungen für die Container-Netzwerkschnittstelle auf „ 600 “ oder restriktiver eingestellt sind. |
Nicht bewertet | 1 | Bestanden | IBM |
| 1.1.10 | Stellen Sie sicher, dass das Eigentumsrecht für Container Network Interface-Dateien auf root:root gesetzt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 1.1.11 | Stellen Sie sicher, dass die Berechtigungen für das 'etcd'-Datenverzeichnis auf 700 oder auf restriktivere Berechtigungen gesetzt sind. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.12 | Stellen Sie sicher, dass das Eigentumsrecht für das 'etcd'-Datenverzeichnis auf etcd:etcd gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.13 | Stellen Sie sicher, dass die Standardberechtigungen für die Datei mit den Administratoranmeldedaten auf „ 600 “ gesetzt sind. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.14 | Stellen Sie sicher, dass als Eigentümer der Standarddatei für die Administratoranmeldedaten „ root:root “ festgelegt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.15 | Stellen Sie sicher, dass die Dateiberechtigungen für „ scheduler.conf “ auf „ 600 “ oder restriktiver eingestellt sind. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.16 | Stellen Sie sicher, dass das Eigentumsrecht für die Datei scheduler.conf auf root:root gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.17 | Stellen Sie sicher, dass die Dateiberechtigungen für „ controller-manager.conf “ auf „ 600 “ oder restriktiver eingestellt sind. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.18 | Stellen Sie sicher, dass das Eigentumsrecht für die Datei controller-manager.conf auf root:root gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.19 | Stellen Sie sicher, dass das Eigentumsrecht für Kubernetes-PKI-Verzeichnisse und -Dateien auf root:root gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.1.20 | Stellen Sie sicher, dass die Berechtigungen für Kubernetes-PKI-Zertifikatdateien auf 644 oder auf restriktivere Berechtigungen gesetzt sind. |
Nicht bewertet | 1 | Bestanden | IBM |
| 1.1.21 | Stellen Sie sicher, dass die Berechtigungen für Kubernetes-PKI-Schlüsseldateien auf 600 gesetzt sind. |
Nicht bewertet | 1 | Bestanden | IBM |
1.2 API-Server
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 1.2.1 | Stellen Sie sicher, dass das Argument --anonymous-auth auf false gesetzt ist. |
Nicht bewertet | 1 | Fehlgeschlagen | IBM |
| 1.2.2 | Stellen Sie sicher, dass der Parameter --token-auth-file nicht festgelegt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.2.3 | Stellen Sie sicher, dass die Option „ DenyServiceExternalIPs “ aktiviert ist. |
Nicht bewertet | 1 | Fehlgeschlagen | IBM |
| 1.2.4 | Stellen Sie sicher, dass die Argumente --kubelet-client-certificate und --kubelet-client-key den Anforderungen entsprechend festgelegt sind. |
Bewertet | 1 | Bestanden | IBM |
| 1.2.5 | Stellen Sie sicher, dass das Argument --kubelet-certificate-authority den Anforderungen entsprechend definiert ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.2.6 | Stellen Sie sicher, dass das Argument --authorization-mode nicht auf AlwaysAllow gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.2.7 | Stellen Sie sicher, dass das Argument „ --authorization-mode “ den Wert „ Node “ enthält. |
Bewertet | 1 | Bestanden | IBM |
| 1.2.8 | Stellen Sie sicher, dass das Argument „ --authorization-mode “ RBAC enthält. |
Bewertet | 1 | Bestanden | IBM |
| 1.2.9 | Stellen Sie sicher, dass das Zugangssteuerungs-Plug-in EventRateLimit festgelegt ist. |
Nicht bewertet | 1 | Fehlgeschlagen | IBM |
| 1.2.10 | Stellen Sie sicher, dass das Zugangssteuerungs-Plug-in AlwaysAdmit nicht festgelegt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.2.11 | Stellen Sie sicher, dass das Zugangssteuerungs-Plug-in AlwaysPullImages festgelegt ist. |
Nicht bewertet | 1 | Fehlgeschlagen | IBM |
| 1.2.12 | Stellen Sie sicher, dass das Zugangssteuerungs-Plug-in ServiceAccount festgelegt ist. |
Bewertet | 2 | Bestanden | IBM |
| 1.2.13 | Stellen Sie sicher, dass das Zugangssteuerungs-Plug-in NamespaceLifecycle festgelegt ist. |
Bewertet | 2 | Bestanden | IBM |
| 1.2.14 | Stellen Sie sicher, dass das Zugangssteuerungs-Plug-in NodeRestriction festgelegt ist. |
Bewertet | 2 | Bestanden | IBM |
| 1.2.15 | Stellen Sie sicher, dass das Argument --profiling auf false gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.2.16 | Stellen Sie sicher, dass das Argument --audit-log-path festgelegt ist. |
Bewertet | 1 | Bestanden | Gemeinsam |
| 1.2.17 | Stellen Sie sicher, dass das Argument --audit-log-maxage auf 30 oder entsprechend den Anforderungen gesetzt ist. |
Bewertet | 1 | Fehlgeschlagen | Gemeinsam |
| 1.2.18 | Stellen Sie sicher, dass das Argument --audit-log-maxbackup auf 10 oder entsprechend den Anforderungen gesetzt ist. |
Bewertet | 1 | Bestanden | Gemeinsam |
| 1.2.19 | Stellen Sie sicher, dass das Argument --audit-log-maxsize auf 100 oder entsprechend den Anforderungen gesetzt ist. |
Bewertet | 1 | Bestanden | Gemeinsam |
| 1.2.20 | Stellen Sie sicher, dass das Argument --request-timeout den Anforderungen entsprechend definiert ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 1.2.21 | Stellen Sie sicher, dass das Argument --service-account-lookup auf true gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.2.22 | Stellen Sie sicher, dass das Argument --service-account-key-file den Anforderungen entsprechend definiert ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.2.23 | Stellen Sie sicher, dass die Argumente --etcd-certfile und --etcd-keyfile den Anforderungen entsprechend festgelegt sind. |
Bewertet | 1 | Bestanden | IBM |
| 1.2.24 | Stellen Sie sicher, dass die Argumente --tls-cert-file und --tls-private-key-file den Anforderungen entsprechend festgelegt sind. |
Bewertet | 1 | Bestanden | IBM |
| 1.2.25 | Stellen Sie sicher, dass das Argument --client-ca-file den Anforderungen entsprechend definiert ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.2.26 | Stellen Sie sicher, dass das Argument --etcd-cafile den Anforderungen entsprechend definiert ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.2.27 | Stellen Sie sicher, dass das Argument --encryption-provider-config den Anforderungen entsprechend definiert ist. |
Nicht bewertet | 1 | Fehlgeschlagen | Gemeinsam |
| 1.2.28 | Stellen Sie sicher, dass Verschlüsselungsprovider entsprechend konfiguriert sind. | Nicht bewertet | 1 | Fehlgeschlagen | Gemeinsam |
| 1.2.29 | Stellen Sie sicher, dass der API-Server nur kryptografisch starke Verschlüsselungen verwendet. | Nicht bewertet | 1 | Bestanden | IBM |
| 1.2.30 | Stellen Sie sicher, dass der Parameter --service-account-extend-token-expiration auf false eingestellt ist. |
Bewertet | 1 | Fehlgeschlagen | IBM |
1.3 Controller-Manager
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 1.3.1 | Stellen Sie sicher, dass das Argument --terminated-pod-gc-threshold den Anforderungen entsprechend definiert ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 1.3.2 | Stellen Sie sicher, dass das Argument --profiling auf false gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.3.3 | Stellen Sie sicher, dass das Argument --use-service-account-credentials auf true gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.3.4 | Stellen Sie sicher, dass das Argument --service-account-private-key-file den Anforderungen entsprechend definiert ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.3.5 | Stellen Sie sicher, dass das Argument --root-ca-file den Anforderungen entsprechend definiert ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.3.6 | Stellen Sie sicher, dass das Argument RotateKubeletServerCertificate auf true gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.3.7 | Stellen Sie sicher, dass das Argument --bind-address auf 127.0.0.1 gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
1.4 Scheduler
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 1.4.1 | Stellen Sie sicher, dass das Argument --profiling auf false gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 1.4.2 | Stellen Sie sicher, dass das Argument --bind-address auf 127.0.0.1 gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
2 Etcd-Knotenkonfiguration
| Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit | |
|---|---|---|---|---|---|
| 2.1 | Stellen Sie sicher, dass die Argumente --cert-file und --key-file den Anforderungen entsprechend festgelegt sind. |
Bewertet | 1 | Bestanden | IBM |
| 2.2 | Stellen Sie sicher, dass das Argument --client-cert-auth auf true gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 2.3 | Stellen Sie sicher, dass das Argument --auto-tls nicht auf true gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 2.4 | Stellen Sie sicher, dass die Argumente --peer-cert-file und --peer-key-file den Anforderungen entsprechend festgelegt sind. |
Bewertet | 1 | Bestanden | IBM |
| 2.5 | Stellen Sie sicher, dass das Argument --peer-client-cert-auth auf true gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 2.6 | Stellen Sie sicher, dass das Argument --peer-auto-tls nicht auf true gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 2.7 | Stellen Sie sicher, dass für 'etcd' eine eindeutige Zertifizierungsstelle verwendet wird. | Nicht bewertet | 2 | Bestanden | IBM |
3 Konfiguration der Steuerebene
3.2 Protokollierung
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 3.2.1 | Stellen Sie sicher, dass eine Auditrichtlinie mit Mindestanforderungen erstellt wird. | Nicht bewertet | 1 | Fehlgeschlagen | Gemeinsam |
| 3.2.2 | Stellen Sie sicher, dass die Prüfrichtlinie wichtige Sicherheitsprobleme abdeckt. | Nicht bewertet | 2 | Fehlgeschlagen | Gemeinsam |
4 Arbeiterknoten ( RHEL_9_64 )
4.1 Konfigurationsdateien für Workerknoten
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 4.1.1 | Stellen Sie sicher, dass die Dateiberechtigungen für den Kubelet-Dienst auf „ 600 “ oder restriktiver eingestellt sind. |
Bewertet | 1 | Bestanden | IBM |
| 4.1.2 | Stellen Sie sicher, dass das Eigentumsrecht für Kubelet-Servicedateien auf root:root gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 4.1.3 | Wenn die Proxy-Datei kubeconfig existiert, stellen Sie sicher, dass die Berechtigungen auf 600 oder restriktiver gesetzt sind. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.1.4 | Wenn die Proxy-Datei kubeconfig existiert, stellen Sie sicher, dass der Eigentümer auf root:root gesetzt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.1.5 | Stellen Sie sicher, dass die Dateiberechtigungen für die Datei „ -- kubeconfig“ kubelet.conf auf „ 600 “ oder restriktiver eingestellt sind. |
Bewertet | 1 | Bestanden | IBM |
| 4.1.6 | Stellen Sie sicher, dass die Dateibesitzrechte für die Datei „ -- kubeconfig“ kubelet.conf auf „ root:root “ gesetzt sind. |
Bewertet | 1 | Bestanden | IBM |
| 4.1.7 | Stellen Sie sicher, dass die Berechtigungen für Dateien der Zertifizierungsstelle auf 644 oder auf restriktivere Berechtigungen gesetzt sind. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.1.8 | Stellen Sie sicher, dass das Eigentumsrecht für Dateien der Zertifizierungsstelle auf root:root gesetzt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.1.9 | Wenn die Kubelet-Konfigurationsdatei config.yaml verwendet wird, müssen die Berechtigungen auf 600 oder restriktiver gesetzt werden. |
Bewertet | 1 | Bestanden | IBM |
| 4.1.10 | Wenn die Kubelet-Konfigurationsdatei config.yaml verwendet wird, wird der Dateibesitz auf root:root gesetzt. |
Bewertet | 1 | Bestanden | IBM |
4.2 Kubelet
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 4.2.1 | Stellen Sie sicher, dass das Argument --anonymous-auth auf false gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 4.2.2 | Stellen Sie sicher, dass das Argument --authorization-mode nicht auf AlwaysAllow gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 4.2.3 | Stellen Sie sicher, dass das Argument --client-ca-file den Anforderungen entsprechend definiert ist. |
Bewertet | 1 | Bestanden | IBM |
| 4.2.4 | Vergewissern Sie sich, dass, falls definiert, readOnlyPort auf 0 gesetzt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.2.5 | Stellen Sie sicher, dass das Argument --streaming-connection-idle-timeout nicht auf 0 gesetzt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.2.6 | Stellen Sie sicher, dass das Argument --make-iptables-util-chains auf true gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 4.2.7 | Stellen Sie sicher, dass das Argument --hostname-override nicht festgelegt ist. |
Nicht bewertet | 1 | Fehlgeschlagen | IBM |
| 4.2.8 | Stellen Sie sicher, dass das Argument „ eventRecordQPS “ auf einen Wert eingestellt ist, der eine angemessene Ereigniserfassung gewährleistet. |
Nicht bewertet | 2 | Bestanden | IBM |
| 4.2.9 | Stellen Sie sicher, dass die Argumente --tls-cert-file und --tls-private-key-file den Anforderungen entsprechend festgelegt sind. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.2.10 | Stellen Sie sicher, dass das Argument --rotate-certificates nicht auf false gesetzt ist. |
Bewertet | 1 | Fehlgeschlagen | IBM |
| 4.2.11 | Stellen Sie sicher, dass das Argument „ RotateKubeletServerCertificate “ auf „ true “ gesetzt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.2.12 | Stellen Sie sicher, dass Kubelet nur kryptografisch starke Verschlüsselungen verwendet. | Nicht bewertet | 1 | Bestanden | IBM |
| 4.2.13 | Vergewissern Sie sich, dass für den Pod PIDs ein Limit festgelegt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.2.14 | Stellen Sie sicher, dass der Parameter --seccomp-default auf true eingestellt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
4.3 Kube-Proxy
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 4.3.1 | Stellen Sie sicher, dass der kube-proxy metrics-Dienst an localhost gebunden ist. | Bewertet | 1 | Bestanden | IBM |
4 Sicherheitskonfiguration des Worker-Knotens (RHCOS)
4.1 Konfigurationsdateien für Workerknoten
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 4.1.1 | Stellen Sie sicher, dass die Dateiberechtigungen für den Kubelet-Dienst auf „ 600 “ oder restriktiver eingestellt sind. |
Bewertet | 1 | Bestanden | IBM |
| 4.1.2 | Stellen Sie sicher, dass das Eigentumsrecht für Kubelet-Servicedateien auf root:root gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 4.1.3 | Wenn die Proxy-Datei kubeconfig existiert, stellen Sie sicher, dass die Berechtigungen auf 600 oder restriktiver gesetzt sind. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.1.4 | Wenn die Proxy-Datei kubeconfig existiert, stellen Sie sicher, dass der Eigentümer auf root:root gesetzt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.1.5 | Stellen Sie sicher, dass die Dateiberechtigungen für die Datei „ -- kubeconfig“ kubelet.conf auf „ 600 “ oder restriktiver eingestellt sind. |
Bewertet | 1 | Bestanden | IBM |
| 4.1.6 | Stellen Sie sicher, dass die Dateibesitzrechte für die Datei „ -- kubeconfig“ kubelet.conf auf „ root:root “ gesetzt sind. |
Bewertet | 1 | Bestanden | IBM |
| 4.1.7 | Stellen Sie sicher, dass die Berechtigungen für Dateien der Zertifizierungsstelle auf 644 oder auf restriktivere Berechtigungen gesetzt sind. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.1.8 | Stellen Sie sicher, dass das Eigentumsrecht für Dateien der Zertifizierungsstelle auf root:root gesetzt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.1.9 | Wenn die Kubelet-Konfigurationsdatei config.yaml verwendet wird, müssen die Berechtigungen auf 600 oder restriktiver gesetzt werden. |
Bewertet | 1 | Bestanden | IBM |
| 4.1.10 | Wenn die Kubelet-Konfigurationsdatei config.yaml verwendet wird, wird der Dateibesitz auf root:root gesetzt. |
Bewertet | 1 | Bestanden | IBM |
4.2 Kubelet
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 4.2.1 | Stellen Sie sicher, dass das Argument --anonymous-auth auf false gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 4.2.2 | Stellen Sie sicher, dass das Argument --authorization-mode nicht auf AlwaysAllow gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 4.2.3 | Stellen Sie sicher, dass das Argument --client-ca-file den Anforderungen entsprechend definiert ist. |
Bewertet | 1 | Bestanden | IBM |
| 4.2.4 | Vergewissern Sie sich, dass, falls definiert, readOnlyPort auf 0 gesetzt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.2.5 | Stellen Sie sicher, dass das Argument --streaming-connection-idle-timeout nicht auf 0 gesetzt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.2.6 | Stellen Sie sicher, dass das Argument --make-iptables-util-chains auf true gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 4.2.7 | Stellen Sie sicher, dass das Argument --hostname-override nicht festgelegt ist. |
Nicht bewertet | 1 | Fehlgeschlagen | IBM |
| 4.2.8 | Stellen Sie sicher, dass das Argument „ eventRecordQPS “ auf einen Wert eingestellt ist, der eine angemessene Ereigniserfassung gewährleistet. |
Nicht bewertet | 2 | Bestanden | IBM |
| 4.2.9 | Stellen Sie sicher, dass die Argumente --tls-cert-file und --tls-private-key-file den Anforderungen entsprechend festgelegt sind. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.2.10 | Stellen Sie sicher, dass das Argument --rotate-certificates nicht auf false gesetzt ist. |
Bewertet | 1 | Bestanden | IBM |
| 4.2.11 | Stellen Sie sicher, dass das Argument „ RotateKubeletServerCertificate “ auf „ true “ gesetzt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.2.12 | Stellen Sie sicher, dass Kubelet nur kryptografisch starke Verschlüsselungen verwendet. | Nicht bewertet | 1 | Bestanden | IBM |
| 4.2.13 | Vergewissern Sie sich, dass für den Pod PIDs ein Limit festgelegt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
| 4.2.14 | Stellen Sie sicher, dass der Parameter --seccomp-default auf true eingestellt ist. |
Nicht bewertet | 1 | Bestanden | IBM |
4.3 Kube-Proxy
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 4.3.1 | Stellen Sie sicher, dass der kube-proxy metrics-Dienst an localhost gebunden ist. | Bewertet | 1 | Bestanden | IBM |
5 Policen
5.1 RBAC und Servicekonten
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 5.1.1 | Stellen Sie sicher, dass die Rolle „cluster-admin“ nur dort verwendet wird, wo sie benötigt wird. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.1.2 | Minimieren Sie den Zugriff auf geheime Schlüssel. | Nicht bewertet | 1 | Fehlgeschlagen | Gemeinsam |
| 5.1.3 | Minimieren Sie die Verwendung von Platzhalterzeichen in Roles und ClusterRoles. |
Nicht bewertet | 1 | Fehlgeschlagen | Gemeinsam |
| 5.1.4 | Minimieren Sie den Zugriff auf die Erstellung von Pods. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.1.5 | Stellen Sie sicher, dass Standardservicekonten nicht aktiv verwendet werden. | Nicht bewertet | 1 | Fehlgeschlagen | Gemeinsam |
| 5.1.6 | Stellen Sie sicher, dass Servicekontotokens nur bei Bedarf angehängt werden. | Nicht bewertet | 1 | Fehlgeschlagen | Gemeinsam |
| 5.1.7 | Vermeiden Sie die Verwendung der Gruppe system:masters. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.1.8 | Beschränken Sie die Verwendung der Berechtigungen Bind, Impersonate und Escalate im Cluster Kubernetes. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.1.9 | Minimieren Sie den Zugriff auf die Erstellung persistenter Volumes. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.1.10 | Minimierung des Zugriffs auf die Proxy-Subressource von Knoten. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.1.11 | Minimierung des Zugriffs auf die Genehmigungs-Subressource von certificatesigningrequests-Objekten. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.1.12 | Minimieren Sie den Zugriff auf Webhook-Konfigurationsobjekte. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.1.13 | Minimieren Sie den Zugriff auf die Token-Erstellung für das Dienstkonto. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
5.2 Sicherheitsstandards für Pods
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 5.2.1 | Stellen Sie sicher, dass im Cluster mindestens ein aktiver Richtlinienkontrollmechanismus vorhanden ist. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.2.2 | Beschränken Sie den Zugang von berechtigten Containern auf ein Minimum. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.2.3 | Beschränken Sie den Zugang von Containern, die die den Namensbereich für die Prozess-ID des Hosts gemeinsam nutzen möchten, auf ein Minimum. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.2.4 | Beschränken Sie den Zugang von Containern, die die den Namensbereich für IPC des Hosts gemeinsam nutzen möchten, auf ein Minimum. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.2.5 | Beschränken Sie den Zugang von Containern, die die den Namensbereich für das Netz des Hosts gemeinsam nutzen möchten, auf ein Minimum. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.2.6 | Beschränken Sie den Zugang von Containern mit allowPrivilegeEscalation auf ein Minimum. |
Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.2.7 | Beschränken Sie den Zugang von Stammcontainern auf ein Minimum. | Nicht bewertet | 2 | Bestanden | Gemeinsam |
| 5.2.8 | Die Zulassung von Containern mit der NET_RAW-Fähigkeit sollte auf ein Minimum beschränkt werden. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.2.9 | Beschränken Sie den Zugang von Containern mit zugewiesenen Funktionen auf ein Minimum. | Nicht bewertet | 2 | Bestanden | Gemeinsam |
| 5.2.10 | Minimieren Sie die Zulassung von Windows HostProcess Containern. |
Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.2.11 | Minimieren Sie die Aufnahme von HostPath Volumen. |
Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.2.12 | Minimieren Sie die Zulassung von Containern, die HostPorts verwenden. |
Nicht bewertet | 1 | Bestanden | Gemeinsam |
5.3 Netzrichtlinien und CNI
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 5.3.1 | Stellen Sie sicher, dass die verwendete CNI Netzrichtlinien unterstützt. | Nicht bewertet | 1 | Bestanden | IBM |
| 5.3.2 | Stellen Sie sicher, dass für alle Namensbereiche Netzrichtlinien definiert sind. | Nicht bewertet | 2 | Bestanden | Gemeinsam |
5.4 Verwaltung geheimer Schlüssel
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 5.4.1 | Verwenden Sie bevorzugt geheime Schlüssel als Dateien anstatt als Umgebungsvariablen. | Nicht bewertet | 2 | Fehlgeschlagen | Gemeinsam |
| 5.4.2 | Ziehen Sie in Betracht, geheime Schlüssel extern zu speichern. | Nicht bewertet | 2 | Fehlgeschlagen | Gemeinsam |
5.5 Erweiterbare Zugangssteuerung
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 5.5.1 | Konfigurieren Sie die Imageherkunft mithilfe des Zugangscontrollers ImagePolicyWebhook. |
Nicht bewertet | 2 | Fehlgeschlagen | Gemeinsam |
5.6 Allgemeine Richtlinien
| Abschnitt | Empfehlung. | Getroffen? | Ebene | Ergebnis | Zuständigkeit |
|---|---|---|---|---|---|
| 5.6.1 | Erstellen Sie mithilfe von Namensbereichen Verwaltungsgrenzen zwischen Ressourcen. | Nicht bewertet | 1 | Bestanden | Gemeinsam |
| 5.6.2 | Stellen Sie sicher, dass das Profil „ seccomp “ in Ihren Pod-Definitionen auf „docker/default“ gesetzt ist. |
Nicht bewertet | 2 | Fehlgeschlagen | Gemeinsam |
| 5.6.3 | Wenden Sie den Sicherheitskontext auf Ihre Pods und Container an. | Nicht bewertet | 2 | Fehlgeschlagen | Gemeinsam |
| 5.6.4 | Der Standardnamensbereich darf nicht verwendet werden. | Nicht bewertet | 2 | Bestanden | Gemeinsam |
IBM Korrekturen und Erläuterungen
| Abschnitt | Remediation and explanation. |
|---|---|
| 1.2.1 | Red Hat OpenShift on IBM Cloud verwendet RBAC für den Clusterschutz, ermöglicht jedoch eine anonyme Erkennung, die für CIS Kubernetes Benchmark als angemessen erachtet wird. |
| 1.2.3 | OpenShift andere Maßnahmen zur Einschränkung des externen Dienstes IPs ergreift. |
| 1.2.9 | Red Hat OpenShift on IBM Cloud aktiviert den EventRateLimit-Zugangscontroller nicht, weil dieser ein Kubernetes-Alpha-Feature ist. |
| 1.2.11 | Red Hat OpenShift on IBM Cloud aktiviert nicht den AlwaysPullImages zulassungssteuerung
nicht, da sie die _imagePullPolicy_ eines Containers außer Kraft setzt und die Leistung beeinträchtigen kann. |
| 1.2.17 | Red Hat OpenShift on IBM Cloud kann optional Kubernetes-API-Serverprüfung aktivieren. |
| 1.2.27 | Red Hat OpenShift on IBM Cloud kann optional Kubernetes-KMS-Provider (Key Management Service) aktivieren. |
| 1.2.28 | Red Hat OpenShift on IBM Cloud kann optional Kubernetes-KMS-Provider (Key Management Service) aktivieren. |
| 1.2.30 | OpenShift unterstützt nicht die Deaktivierung von --service-account-extend-token-expiration. |
| 3.2.1 | Red Hat OpenShift on IBM Cloud kann optional Kubernetes-API-Serverprüfung aktivieren. |
| 3.2.2 | Red Hat OpenShift on IBM Cloud kann optional Kubernetes-API-Serverprüfung aktivieren. |
| 4.2.7 | Red Hat OpenShift on IBM Cloud stellt sicher, dass der Hostname mit dem von der Infrastruktur ausgegebenen Namen übereinstimmt. |
| 4.2.10 | Red Hat OpenShift on IBM Cloud Wechselt die Zertifikate bei jedem Neuladen oder jeder Aktualisierung der Worker-Knoten. |
| 5.1.2 | Red Hat OpenShift on IBM Cloud stellt einige Systemkomponenten bereit, deren Zugriff auf geheime Kubernetes-Schlüssel weiter eingeschränkt sein könnte. |
| 5.1.3 | Red Hat OpenShift on IBM Cloud stellt einige Systemkomponenten bereit, deren Kubernetes-Ressourcenzugriff weiter eingeschränkt sein könnte. |
| 5.1.5 | Red Hat OpenShift on IBM Cloud legt automountServiceAccountToken: false nicht für jedes Standardservicekonto fest. |
| 5.1.6 | Red Hat OpenShift on IBM Cloud implementiert einige Systemkomponenten, die automountServiceAccountToken: false festlegen könnten. |
| 5.2.2 | Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind. |
| 5.2.3 | Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind. |
| 5.2.4 | Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind. |
| 5.2.5 | Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind. |
| 5.2.6 | Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind. |
| 5.2.7 | Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind. |
| 5.2.8 | Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind. |
| 5.2.9 | Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind. |
| 5.4.1 | Red Hat OpenShift on IBM Cloud stellt einige Systemkomponenten bereit, die die Verwendung von geheimen Schlüsseln als Dateien gegenüber geheimen Schlüsseln als Umgebungsvariablen vorziehen könnten. |
| 5.4.2 | Red Hat OpenShift on IBM Cloud kann optional den Dienst Secrets Manager aktivieren. |
| 5.5.1 | Red Hat OpenShift on IBM Cloud kann optional Durchsetzung der Imagesicherheit aktivieren. |
| 5.6.2 | Red Hat OpenShift on IBM Cloud werden nicht alle Pods mit seccomp Profilen versehen. |
| 5.6.3 | Red Hat OpenShift on IBM Cloud stellt einige Systemkomponenten bereit, die keinen Pod- oder Container-securityContext festlegen. |