4.21 CIS Kubernetes Benchmark

Das Center for Internet Security ( CIS ) veröffentlicht den „ CIS “(Kubernetes) als Rahmenwerk mit konkreten Schritten zur sichereren Konfiguration von Kubernetes unter Einhaltung von Standards, die den verschiedenen Branchenvorschriften entsprechen. Dieses Dokument enthält die Ergebnisse des Benchmark-Tests „ 1.12 “ ( CIS ) und „ Kubernetes “ für Cluster, auf denen „ Red Hat OpenShift on IBM Cloud “ in der Version „ 4.21 “ ausgeführt wird. Weitere Informationen oder Hilfe zum Verständnis des Benchmarks finden Sie unter „ Verwendung des Benchmarks “.

1 Sicherheitskonfiguration der Steuerungsebene

1.1 Konfigurationsdateien für die Control-Plane- Node

Abschnitt „ 1.1 “ – Ergebnisse des Benchmarks für die Konfigurationsdateien der Steuerungsebene „ Node “
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
1.1.1 Stellen Sie sicher, dass die Berechtigungen für die Pod-Spezifikationsdatei des API-Servers auf „ 600 “ oder restriktiver festgelegt sind. Bewertet 1 Bestanden IBM
1.1.2 Stellen Sie sicher, dass das Eigentumsrecht der Pod-Spezifikationsdatei für den API-Server auf root:root gesetzt ist. Bewertet 1 Bestanden IBM
1.1.3 Stellen Sie sicher, dass die Berechtigungen für die Pod-Spezifikationsdatei des Controller-Managers auf „ 600 “ oder restriktiver festgelegt sind. Bewertet 1 Bestanden IBM
1.1.4 Stellen Sie sicher, dass das Eigentumsrecht der Pod-Spezifikationsdatei für den Controller-Manager auf root:root gesetzt ist. Bewertet 1 Bestanden IBM
1.1.5 Stellen Sie sicher, dass die Berechtigungen für die Pod-Spezifikationsdatei des Schedulers auf „ 600 “ oder restriktiver festgelegt sind. Bewertet 1 Bestanden IBM
1.1.6 Stellen Sie sicher, dass das Eigentumsrecht der Pod-Spezifikationsdatei für den Scheduler auf root:root gesetzt ist. Bewertet 1 Bestanden IBM
1.1.7 Stellen Sie sicher, dass die Berechtigungen für die Pod-Spezifikationsdatei „ etcd “ auf „ 600 “ oder restriktiver eingestellt sind. Bewertet 1 Bestanden IBM
1.1.8 Stellen Sie sicher, dass das Eigentumsrecht der Pod-Spezifikationsdatei für 'etcd' auf root:root gesetzt ist. Bewertet 1 Bestanden IBM
1.1.9 Stellen Sie sicher, dass die Dateiberechtigungen für die Container-Netzwerkschnittstelle auf „ 600 “ oder restriktiver eingestellt sind. Nicht bewertet 1 Bestanden IBM
1.1.10 Stellen Sie sicher, dass das Eigentumsrecht für Container Network Interface-Dateien auf root:root gesetzt ist. Nicht bewertet 1 Bestanden IBM
1.1.11 Stellen Sie sicher, dass die Berechtigungen für das 'etcd'-Datenverzeichnis auf 700 oder auf restriktivere Berechtigungen gesetzt sind. Bewertet 1 Bestanden IBM
1.1.12 Stellen Sie sicher, dass das Eigentumsrecht für das 'etcd'-Datenverzeichnis auf etcd:etcd gesetzt ist. Bewertet 1 Bestanden IBM
1.1.13 Stellen Sie sicher, dass die Standardberechtigungen für die Datei mit den Administratoranmeldedaten auf „ 600 “ gesetzt sind. Bewertet 1 Bestanden IBM
1.1.14 Stellen Sie sicher, dass als Eigentümer der Standarddatei für die Administratoranmeldedaten „ root:root “ festgelegt ist. Bewertet 1 Bestanden IBM
1.1.15 Stellen Sie sicher, dass die Dateiberechtigungen für „ scheduler.conf “ auf „ 600 “ oder restriktiver eingestellt sind. Bewertet 1 Bestanden IBM
1.1.16 Stellen Sie sicher, dass das Eigentumsrecht für die Datei scheduler.conf auf root:root gesetzt ist. Bewertet 1 Bestanden IBM
1.1.17 Stellen Sie sicher, dass die Dateiberechtigungen für „ controller-manager.conf “ auf „ 600 “ oder restriktiver eingestellt sind. Bewertet 1 Bestanden IBM
1.1.18 Stellen Sie sicher, dass das Eigentumsrecht für die Datei controller-manager.conf auf root:root gesetzt ist. Bewertet 1 Bestanden IBM
1.1.19 Stellen Sie sicher, dass das Eigentumsrecht für Kubernetes-PKI-Verzeichnisse und -Dateien auf root:root gesetzt ist. Bewertet 1 Bestanden IBM
1.1.20 Stellen Sie sicher, dass die Berechtigungen für Kubernetes-PKI-Zertifikatdateien auf 644 oder auf restriktivere Berechtigungen gesetzt sind. Nicht bewertet 1 Bestanden IBM
1.1.21 Stellen Sie sicher, dass die Berechtigungen für Kubernetes-PKI-Schlüsseldateien auf 600 gesetzt sind. Nicht bewertet 1 Bestanden IBM

1.2 API-Server

Abschnitt 1.2: API-Server - Benchmarkergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
1.2.1 Stellen Sie sicher, dass das Argument --anonymous-auth auf false gesetzt ist. Nicht bewertet 1 Fehlgeschlagen IBM
1.2.2 Stellen Sie sicher, dass der Parameter --token-auth-file nicht festgelegt ist. Bewertet 1 Bestanden IBM
1.2.3 Stellen Sie sicher, dass die Option „ DenyServiceExternalIPs “ aktiviert ist. Nicht bewertet 1 Fehlgeschlagen IBM
1.2.4 Stellen Sie sicher, dass die Argumente --kubelet-client-certificate und --kubelet-client-key den Anforderungen entsprechend festgelegt sind. Bewertet 1 Bestanden IBM
1.2.5 Stellen Sie sicher, dass das Argument --kubelet-certificate-authority den Anforderungen entsprechend definiert ist. Bewertet 1 Bestanden IBM
1.2.6 Stellen Sie sicher, dass das Argument --authorization-mode nicht auf AlwaysAllow gesetzt ist. Bewertet 1 Bestanden IBM
1.2.7 Stellen Sie sicher, dass das Argument „ --authorization-mode “ den Wert „ Node “ enthält. Bewertet 1 Bestanden IBM
1.2.8 Stellen Sie sicher, dass das Argument „ --authorization-mode “ RBAC enthält. Bewertet 1 Bestanden IBM
1.2.9 Stellen Sie sicher, dass das Zugangssteuerungs-Plug-in EventRateLimit festgelegt ist. Nicht bewertet 1 Fehlgeschlagen IBM
1.2.10 Stellen Sie sicher, dass das Zugangssteuerungs-Plug-in AlwaysAdmit nicht festgelegt ist. Bewertet 1 Bestanden IBM
1.2.11 Stellen Sie sicher, dass das Zugangssteuerungs-Plug-in AlwaysPullImages festgelegt ist. Nicht bewertet 1 Fehlgeschlagen IBM
1.2.12 Stellen Sie sicher, dass das Zugangssteuerungs-Plug-in ServiceAccount festgelegt ist. Bewertet 2 Bestanden IBM
1.2.13 Stellen Sie sicher, dass das Zugangssteuerungs-Plug-in NamespaceLifecycle festgelegt ist. Bewertet 2 Bestanden IBM
1.2.14 Stellen Sie sicher, dass das Zugangssteuerungs-Plug-in NodeRestriction festgelegt ist. Bewertet 2 Bestanden IBM
1.2.15 Stellen Sie sicher, dass das Argument --profiling auf false gesetzt ist. Bewertet 1 Bestanden IBM
1.2.16 Stellen Sie sicher, dass das Argument --audit-log-path festgelegt ist. Bewertet 1 Bestanden Gemeinsam
1.2.17 Stellen Sie sicher, dass das Argument --audit-log-maxage auf 30 oder entsprechend den Anforderungen gesetzt ist. Bewertet 1 Fehlgeschlagen Gemeinsam
1.2.18 Stellen Sie sicher, dass das Argument --audit-log-maxbackup auf 10 oder entsprechend den Anforderungen gesetzt ist. Bewertet 1 Bestanden Gemeinsam
1.2.19 Stellen Sie sicher, dass das Argument --audit-log-maxsize auf 100 oder entsprechend den Anforderungen gesetzt ist. Bewertet 1 Bestanden Gemeinsam
1.2.20 Stellen Sie sicher, dass das Argument --request-timeout den Anforderungen entsprechend definiert ist. Nicht bewertet 1 Bestanden IBM
1.2.21 Stellen Sie sicher, dass das Argument --service-account-lookup auf true gesetzt ist. Bewertet 1 Bestanden IBM
1.2.22 Stellen Sie sicher, dass das Argument --service-account-key-file den Anforderungen entsprechend definiert ist. Bewertet 1 Bestanden IBM
1.2.23 Stellen Sie sicher, dass die Argumente --etcd-certfile und --etcd-keyfile den Anforderungen entsprechend festgelegt sind. Bewertet 1 Bestanden IBM
1.2.24 Stellen Sie sicher, dass die Argumente --tls-cert-file und --tls-private-key-file den Anforderungen entsprechend festgelegt sind. Bewertet 1 Bestanden IBM
1.2.25 Stellen Sie sicher, dass das Argument --client-ca-file den Anforderungen entsprechend definiert ist. Bewertet 1 Bestanden IBM
1.2.26 Stellen Sie sicher, dass das Argument --etcd-cafile den Anforderungen entsprechend definiert ist. Bewertet 1 Bestanden IBM
1.2.27 Stellen Sie sicher, dass das Argument --encryption-provider-config den Anforderungen entsprechend definiert ist. Nicht bewertet 1 Fehlgeschlagen Gemeinsam
1.2.28 Stellen Sie sicher, dass Verschlüsselungsprovider entsprechend konfiguriert sind. Nicht bewertet 1 Fehlgeschlagen Gemeinsam
1.2.29 Stellen Sie sicher, dass der API-Server nur kryptografisch starke Verschlüsselungen verwendet. Nicht bewertet 1 Bestanden IBM
1.2.30 Stellen Sie sicher, dass der Parameter --service-account-extend-token-expiration auf false eingestellt ist. Bewertet 1 Fehlgeschlagen IBM

1.3 Controller-Manager

Abschnitt 1.3: Controller-Manager - Benchmarkergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
1.3.1 Stellen Sie sicher, dass das Argument --terminated-pod-gc-threshold den Anforderungen entsprechend definiert ist. Nicht bewertet 1 Bestanden IBM
1.3.2 Stellen Sie sicher, dass das Argument --profiling auf false gesetzt ist. Bewertet 1 Bestanden IBM
1.3.3 Stellen Sie sicher, dass das Argument --use-service-account-credentials auf true gesetzt ist. Bewertet 1 Bestanden IBM
1.3.4 Stellen Sie sicher, dass das Argument --service-account-private-key-file den Anforderungen entsprechend definiert ist. Bewertet 1 Bestanden IBM
1.3.5 Stellen Sie sicher, dass das Argument --root-ca-file den Anforderungen entsprechend definiert ist. Bewertet 1 Bestanden IBM
1.3.6 Stellen Sie sicher, dass das Argument RotateKubeletServerCertificate auf true gesetzt ist. Bewertet 1 Bestanden IBM
1.3.7 Stellen Sie sicher, dass das Argument --bind-address auf 127.0.0.1 gesetzt ist. Bewertet 1 Bestanden IBM

1.4 Scheduler

Abschnitt 1.4: Scheduler - Benchmarkergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
1.4.1 Stellen Sie sicher, dass das Argument --profiling auf false gesetzt ist. Bewertet 1 Bestanden IBM
1.4.2 Stellen Sie sicher, dass das Argument --bind-address auf 127.0.0.1 gesetzt ist. Bewertet 1 Bestanden IBM

2 Etcd-Knotenkonfiguration

Abschnitt 2: Konfiguration von 'etcd'-Knoten - Benchmarkergebnisse

Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
2.1 Stellen Sie sicher, dass die Argumente --cert-file und --key-file den Anforderungen entsprechend festgelegt sind. Bewertet 1 Bestanden IBM
2.2 Stellen Sie sicher, dass das Argument --client-cert-auth auf true gesetzt ist. Bewertet 1 Bestanden IBM
2.3 Stellen Sie sicher, dass das Argument --auto-tls nicht auf true gesetzt ist. Bewertet 1 Bestanden IBM
2.4 Stellen Sie sicher, dass die Argumente --peer-cert-file und --peer-key-file den Anforderungen entsprechend festgelegt sind. Bewertet 1 Bestanden IBM
2.5 Stellen Sie sicher, dass das Argument --peer-client-cert-auth auf true gesetzt ist. Bewertet 1 Bestanden IBM
2.6 Stellen Sie sicher, dass das Argument --peer-auto-tls nicht auf true gesetzt ist. Bewertet 1 Bestanden IBM
2.7 Stellen Sie sicher, dass für 'etcd' eine eindeutige Zertifizierungsstelle verwendet wird. Nicht bewertet 2 Bestanden IBM

3 Konfiguration der Steuerebene

3.1 Authentifizierung und Autorisierung

Abschnitt 3.1: Authentifizierung und Autorisierung - Benchmarkergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
3.1.1 Die Clientzertifikatsauthentifizierung sollte nicht für Benutzer verwendet werden. Nicht bewertet 1 Bestanden Gemeinsam
3.1.2 Die Dienstkonto-Token-Authentifizierung sollte nicht für Benutzer verwendet werden. Nicht bewertet 1 Bestanden Gemeinsam
3.1.3 Die Bootstrap-Token-Authentifizierung sollte nicht für Benutzer verwendet werden. Nicht bewertet 1 Bestanden Gemeinsam

3.2 Protokollierung

Abschnitt 3.2: Protokollierung - Benchmarkergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
3.2.1 Stellen Sie sicher, dass eine Auditrichtlinie mit Mindestanforderungen erstellt wird. Nicht bewertet 1 Fehlgeschlagen Gemeinsam
3.2.2 Stellen Sie sicher, dass die Prüfrichtlinie wichtige Sicherheitsprobleme abdeckt. Nicht bewertet 2 Fehlgeschlagen Gemeinsam

4 Arbeiterknoten ( RHEL_9_64 )

4.1 Konfigurationsdateien für Workerknoten

Abschnitt 4.1: Konfigurationsdateien für Workerknoten - Benchmarkergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
4.1.1 Stellen Sie sicher, dass die Dateiberechtigungen für den Kubelet-Dienst auf „ 600 “ oder restriktiver eingestellt sind. Bewertet 1 Bestanden IBM
4.1.2 Stellen Sie sicher, dass das Eigentumsrecht für Kubelet-Servicedateien auf root:root gesetzt ist. Bewertet 1 Bestanden IBM
4.1.3 Wenn die Proxy-Datei kubeconfig existiert, stellen Sie sicher, dass die Berechtigungen auf 600 oder restriktiver gesetzt sind. Nicht bewertet 1 Bestanden IBM
4.1.4 Wenn die Proxy-Datei kubeconfig existiert, stellen Sie sicher, dass der Eigentümer auf root:root gesetzt ist. Nicht bewertet 1 Bestanden IBM
4.1.5 Stellen Sie sicher, dass die Dateiberechtigungen für die Datei „ -- kubeconfig“ kubelet.conf auf „ 600 “ oder restriktiver eingestellt sind. Bewertet 1 Bestanden IBM
4.1.6 Stellen Sie sicher, dass die Dateibesitzrechte für die Datei „ -- kubeconfig“ kubelet.conf auf „ root:root “ gesetzt sind. Bewertet 1 Bestanden IBM
4.1.7 Stellen Sie sicher, dass die Berechtigungen für Dateien der Zertifizierungsstelle auf 644 oder auf restriktivere Berechtigungen gesetzt sind. Nicht bewertet 1 Bestanden IBM
4.1.8 Stellen Sie sicher, dass das Eigentumsrecht für Dateien der Zertifizierungsstelle auf root:root gesetzt ist. Nicht bewertet 1 Bestanden IBM
4.1.9 Wenn die Kubelet-Konfigurationsdatei config.yaml verwendet wird, müssen die Berechtigungen auf 600 oder restriktiver gesetzt werden. Bewertet 1 Bestanden IBM
4.1.10 Wenn die Kubelet-Konfigurationsdatei config.yaml verwendet wird, wird der Dateibesitz auf root:root gesetzt. Bewertet 1 Bestanden IBM

4.2 Kubelet

Abschnitt 4.2: Kubelet - Benchmarkergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
4.2.1 Stellen Sie sicher, dass das Argument --anonymous-auth auf false gesetzt ist. Bewertet 1 Bestanden IBM
4.2.2 Stellen Sie sicher, dass das Argument --authorization-mode nicht auf AlwaysAllow gesetzt ist. Bewertet 1 Bestanden IBM
4.2.3 Stellen Sie sicher, dass das Argument --client-ca-file den Anforderungen entsprechend definiert ist. Bewertet 1 Bestanden IBM
4.2.4 Vergewissern Sie sich, dass, falls definiert, readOnlyPort auf 0 gesetzt ist. Nicht bewertet 1 Bestanden IBM
4.2.5 Stellen Sie sicher, dass das Argument --streaming-connection-idle-timeout nicht auf 0 gesetzt ist. Nicht bewertet 1 Bestanden IBM
4.2.6 Stellen Sie sicher, dass das Argument --make-iptables-util-chains auf true gesetzt ist. Bewertet 1 Bestanden IBM
4.2.7 Stellen Sie sicher, dass das Argument --hostname-override nicht festgelegt ist. Nicht bewertet 1 Fehlgeschlagen IBM
4.2.8 Stellen Sie sicher, dass das Argument „ eventRecordQPS “ auf einen Wert eingestellt ist, der eine angemessene Ereigniserfassung gewährleistet. Nicht bewertet 2 Bestanden IBM
4.2.9 Stellen Sie sicher, dass die Argumente --tls-cert-file und --tls-private-key-file den Anforderungen entsprechend festgelegt sind. Nicht bewertet 1 Bestanden IBM
4.2.10 Stellen Sie sicher, dass das Argument --rotate-certificates nicht auf false gesetzt ist. Bewertet 1 Fehlgeschlagen IBM
4.2.11 Stellen Sie sicher, dass das Argument „ RotateKubeletServerCertificate “ auf „ true “ gesetzt ist. Nicht bewertet 1 Bestanden IBM
4.2.12 Stellen Sie sicher, dass Kubelet nur kryptografisch starke Verschlüsselungen verwendet. Nicht bewertet 1 Bestanden IBM
4.2.13 Vergewissern Sie sich, dass für den Pod PIDs ein Limit festgelegt ist. Nicht bewertet 1 Bestanden IBM
4.2.14 Stellen Sie sicher, dass der Parameter --seccomp-default auf true eingestellt ist. Nicht bewertet 1 Bestanden IBM

4.3 Kube-Proxy

Abschnitt 4.3 Kube-Proxy-Benchmark-Ergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
4.3.1 Stellen Sie sicher, dass der kube-proxy metrics-Dienst an localhost gebunden ist. Bewertet 1 Bestanden IBM

4 Sicherheitskonfiguration des Worker-Knotens (RHCOS)

4.1 Konfigurationsdateien für Workerknoten

Abschnitt 4.1: Konfigurationsdateien für Workerknoten - Benchmarkergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
4.1.1 Stellen Sie sicher, dass die Dateiberechtigungen für den Kubelet-Dienst auf „ 600 “ oder restriktiver eingestellt sind. Bewertet 1 Bestanden IBM
4.1.2 Stellen Sie sicher, dass das Eigentumsrecht für Kubelet-Servicedateien auf root:root gesetzt ist. Bewertet 1 Bestanden IBM
4.1.3 Wenn die Proxy-Datei kubeconfig existiert, stellen Sie sicher, dass die Berechtigungen auf 600 oder restriktiver gesetzt sind. Nicht bewertet 1 Bestanden IBM
4.1.4 Wenn die Proxy-Datei kubeconfig existiert, stellen Sie sicher, dass der Eigentümer auf root:root gesetzt ist. Nicht bewertet 1 Bestanden IBM
4.1.5 Stellen Sie sicher, dass die Dateiberechtigungen für die Datei „ -- kubeconfig“ kubelet.conf auf „ 600 “ oder restriktiver eingestellt sind. Bewertet 1 Bestanden IBM
4.1.6 Stellen Sie sicher, dass die Dateibesitzrechte für die Datei „ -- kubeconfig“ kubelet.conf auf „ root:root “ gesetzt sind. Bewertet 1 Bestanden IBM
4.1.7 Stellen Sie sicher, dass die Berechtigungen für Dateien der Zertifizierungsstelle auf 644 oder auf restriktivere Berechtigungen gesetzt sind. Nicht bewertet 1 Bestanden IBM
4.1.8 Stellen Sie sicher, dass das Eigentumsrecht für Dateien der Zertifizierungsstelle auf root:root gesetzt ist. Nicht bewertet 1 Bestanden IBM
4.1.9 Wenn die Kubelet-Konfigurationsdatei config.yaml verwendet wird, müssen die Berechtigungen auf 600 oder restriktiver gesetzt werden. Bewertet 1 Bestanden IBM
4.1.10 Wenn die Kubelet-Konfigurationsdatei config.yaml verwendet wird, wird der Dateibesitz auf root:root gesetzt. Bewertet 1 Bestanden IBM

4.2 Kubelet

Abschnitt 4.2: Kubelet - Benchmarkergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
4.2.1 Stellen Sie sicher, dass das Argument --anonymous-auth auf false gesetzt ist. Bewertet 1 Bestanden IBM
4.2.2 Stellen Sie sicher, dass das Argument --authorization-mode nicht auf AlwaysAllow gesetzt ist. Bewertet 1 Bestanden IBM
4.2.3 Stellen Sie sicher, dass das Argument --client-ca-file den Anforderungen entsprechend definiert ist. Bewertet 1 Bestanden IBM
4.2.4 Vergewissern Sie sich, dass, falls definiert, readOnlyPort auf 0 gesetzt ist. Nicht bewertet 1 Bestanden IBM
4.2.5 Stellen Sie sicher, dass das Argument --streaming-connection-idle-timeout nicht auf 0 gesetzt ist. Nicht bewertet 1 Bestanden IBM
4.2.6 Stellen Sie sicher, dass das Argument --make-iptables-util-chains auf true gesetzt ist. Bewertet 1 Bestanden IBM
4.2.7 Stellen Sie sicher, dass das Argument --hostname-override nicht festgelegt ist. Nicht bewertet 1 Fehlgeschlagen IBM
4.2.8 Stellen Sie sicher, dass das Argument „ eventRecordQPS “ auf einen Wert eingestellt ist, der eine angemessene Ereigniserfassung gewährleistet. Nicht bewertet 2 Bestanden IBM
4.2.9 Stellen Sie sicher, dass die Argumente --tls-cert-file und --tls-private-key-file den Anforderungen entsprechend festgelegt sind. Nicht bewertet 1 Bestanden IBM
4.2.10 Stellen Sie sicher, dass das Argument --rotate-certificates nicht auf false gesetzt ist. Bewertet 1 Bestanden IBM
4.2.11 Stellen Sie sicher, dass das Argument „ RotateKubeletServerCertificate “ auf „ true “ gesetzt ist. Nicht bewertet 1 Bestanden IBM
4.2.12 Stellen Sie sicher, dass Kubelet nur kryptografisch starke Verschlüsselungen verwendet. Nicht bewertet 1 Bestanden IBM
4.2.13 Vergewissern Sie sich, dass für den Pod PIDs ein Limit festgelegt ist. Nicht bewertet 1 Bestanden IBM
4.2.14 Stellen Sie sicher, dass der Parameter --seccomp-default auf true eingestellt ist. Nicht bewertet 1 Bestanden IBM

4.3 Kube-Proxy

Abschnitt 4.3 Kube-Proxy-Benchmark-Ergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
4.3.1 Stellen Sie sicher, dass der kube-proxy metrics-Dienst an localhost gebunden ist. Bewertet 1 Bestanden IBM

5 Policen

5.1 RBAC und Servicekonten

Abschnitt 5.1: RBAC- und Servicekonten - Benchmarkergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
5.1.1 Stellen Sie sicher, dass die Rolle „cluster-admin“ nur dort verwendet wird, wo sie benötigt wird. Nicht bewertet 1 Bestanden Gemeinsam
5.1.2 Minimieren Sie den Zugriff auf geheime Schlüssel. Nicht bewertet 1 Fehlgeschlagen Gemeinsam
5.1.3 Minimieren Sie die Verwendung von Platzhalterzeichen in Roles und ClusterRoles. Nicht bewertet 1 Fehlgeschlagen Gemeinsam
5.1.4 Minimieren Sie den Zugriff auf die Erstellung von Pods. Nicht bewertet 1 Bestanden Gemeinsam
5.1.5 Stellen Sie sicher, dass Standardservicekonten nicht aktiv verwendet werden. Nicht bewertet 1 Fehlgeschlagen Gemeinsam
5.1.6 Stellen Sie sicher, dass Servicekontotokens nur bei Bedarf angehängt werden. Nicht bewertet 1 Fehlgeschlagen Gemeinsam
5.1.7 Vermeiden Sie die Verwendung der Gruppe system:masters. Nicht bewertet 1 Bestanden Gemeinsam
5.1.8 Beschränken Sie die Verwendung der Berechtigungen Bind, Impersonate und Escalate im Cluster Kubernetes. Nicht bewertet 1 Bestanden Gemeinsam
5.1.9 Minimieren Sie den Zugriff auf die Erstellung persistenter Volumes. Nicht bewertet 1 Bestanden Gemeinsam
5.1.10 Minimierung des Zugriffs auf die Proxy-Subressource von Knoten. Nicht bewertet 1 Bestanden Gemeinsam
5.1.11 Minimierung des Zugriffs auf die Genehmigungs-Subressource von certificatesigningrequests-Objekten. Nicht bewertet 1 Bestanden Gemeinsam
5.1.12 Minimieren Sie den Zugriff auf Webhook-Konfigurationsobjekte. Nicht bewertet 1 Bestanden Gemeinsam
5.1.13 Minimieren Sie den Zugriff auf die Token-Erstellung für das Dienstkonto. Nicht bewertet 1 Bestanden Gemeinsam

5.2 Sicherheitsstandards für Pods

Abschnitt 5.2 Benchmark-Ergebnisse der Sicherheitsstandards für Pods
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
5.2.1 Stellen Sie sicher, dass im Cluster mindestens ein aktiver Richtlinienkontrollmechanismus vorhanden ist. Nicht bewertet 1 Bestanden Gemeinsam
5.2.2 Beschränken Sie den Zugang von berechtigten Containern auf ein Minimum. Nicht bewertet 1 Bestanden Gemeinsam
5.2.3 Beschränken Sie den Zugang von Containern, die die den Namensbereich für die Prozess-ID des Hosts gemeinsam nutzen möchten, auf ein Minimum. Nicht bewertet 1 Bestanden Gemeinsam
5.2.4 Beschränken Sie den Zugang von Containern, die die den Namensbereich für IPC des Hosts gemeinsam nutzen möchten, auf ein Minimum. Nicht bewertet 1 Bestanden Gemeinsam
5.2.5 Beschränken Sie den Zugang von Containern, die die den Namensbereich für das Netz des Hosts gemeinsam nutzen möchten, auf ein Minimum. Nicht bewertet 1 Bestanden Gemeinsam
5.2.6 Beschränken Sie den Zugang von Containern mit allowPrivilegeEscalation auf ein Minimum. Nicht bewertet 1 Bestanden Gemeinsam
5.2.7 Beschränken Sie den Zugang von Stammcontainern auf ein Minimum. Nicht bewertet 2 Bestanden Gemeinsam
5.2.8 Die Zulassung von Containern mit der NET_RAW-Fähigkeit sollte auf ein Minimum beschränkt werden. Nicht bewertet 1 Bestanden Gemeinsam
5.2.9 Beschränken Sie den Zugang von Containern mit zugewiesenen Funktionen auf ein Minimum. Nicht bewertet 2 Bestanden Gemeinsam
5.2.10 Minimieren Sie die Zulassung von Windows HostProcess Containern. Nicht bewertet 1 Bestanden Gemeinsam
5.2.11 Minimieren Sie die Aufnahme von HostPath Volumen. Nicht bewertet 1 Bestanden Gemeinsam
5.2.12 Minimieren Sie die Zulassung von Containern, die HostPorts verwenden. Nicht bewertet 1 Bestanden Gemeinsam

5.3 Netzrichtlinien und CNI

Abschnitt 5.3: Netzrichtlinien und CNI - Benchmarkergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
5.3.1 Stellen Sie sicher, dass die verwendete CNI Netzrichtlinien unterstützt. Nicht bewertet 1 Bestanden IBM
5.3.2 Stellen Sie sicher, dass für alle Namensbereiche Netzrichtlinien definiert sind. Nicht bewertet 2 Bestanden Gemeinsam

5.4 Verwaltung geheimer Schlüssel

Abschnitt 5.4: Verwaltung von geheimen Schlüsseln (Secrets) - Benchmarkergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
5.4.1 Verwenden Sie bevorzugt geheime Schlüssel als Dateien anstatt als Umgebungsvariablen. Nicht bewertet 2 Fehlgeschlagen Gemeinsam
5.4.2 Ziehen Sie in Betracht, geheime Schlüssel extern zu speichern. Nicht bewertet 2 Fehlgeschlagen Gemeinsam

5.5 Erweiterbare Zugangssteuerung

Abschnitt 5.5: Erweiterbare Zugangssteuerung - Benchmarkergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
5.5.1 Konfigurieren Sie die Imageherkunft mithilfe des Zugangscontrollers ImagePolicyWebhook. Nicht bewertet 2 Fehlgeschlagen Gemeinsam

5.6 Allgemeine Richtlinien

Abschnitt 5.6: Allgemeine Richtlinien - Benchmarkergebnisse
Abschnitt Empfehlung. Getroffen? Ebene Ergebnis Zuständigkeit
5.6.1 Erstellen Sie mithilfe von Namensbereichen Verwaltungsgrenzen zwischen Ressourcen. Nicht bewertet 1 Bestanden Gemeinsam
5.6.2 Stellen Sie sicher, dass das Profil „ seccomp “ in Ihren Pod-Definitionen auf „docker/default“ gesetzt ist. Nicht bewertet 2 Fehlgeschlagen Gemeinsam
5.6.3 Wenden Sie den Sicherheitskontext auf Ihre Pods und Container an. Nicht bewertet 2 Fehlgeschlagen Gemeinsam
5.6.4 Der Standardnamensbereich darf nicht verwendet werden. Nicht bewertet 2 Bestanden Gemeinsam

IBM Korrekturen und Erläuterungen

Abschnitt IBM Abhilfemaßnahmen und Erläuterungen Benchmark-Ergebnisse
Abschnitt Remediation and explanation.
1.2.1 Red Hat OpenShift on IBM Cloud verwendet RBAC für den Clusterschutz, ermöglicht jedoch eine anonyme Erkennung, die für CIS Kubernetes Benchmark als angemessen erachtet wird.
1.2.3 OpenShift andere Maßnahmen zur Einschränkung des externen Dienstes IPs ergreift.
1.2.9 Red Hat OpenShift on IBM Cloud aktiviert den EventRateLimit-Zugangscontroller nicht, weil dieser ein Kubernetes-Alpha-Feature ist.
1.2.11 Red Hat OpenShift on IBM Cloud aktiviert nicht den AlwaysPullImages zulassungssteuerung nicht, da sie die _imagePullPolicy_ eines Containers außer Kraft setzt und die Leistung beeinträchtigen kann.
1.2.17 Red Hat OpenShift on IBM Cloud kann optional Kubernetes-API-Serverprüfung aktivieren.
1.2.27 Red Hat OpenShift on IBM Cloud kann optional Kubernetes-KMS-Provider (Key Management Service) aktivieren.
1.2.28 Red Hat OpenShift on IBM Cloud kann optional Kubernetes-KMS-Provider (Key Management Service) aktivieren.
1.2.30 OpenShift unterstützt nicht die Deaktivierung von --service-account-extend-token-expiration.
3.2.1 Red Hat OpenShift on IBM Cloud kann optional Kubernetes-API-Serverprüfung aktivieren.
3.2.2 Red Hat OpenShift on IBM Cloud kann optional Kubernetes-API-Serverprüfung aktivieren.
4.2.7 Red Hat OpenShift on IBM Cloud stellt sicher, dass der Hostname mit dem von der Infrastruktur ausgegebenen Namen übereinstimmt.
4.2.10 Red Hat OpenShift on IBM Cloud Wechselt die Zertifikate bei jedem Neuladen oder jeder Aktualisierung der Worker-Knoten.
5.1.2 Red Hat OpenShift on IBM Cloud stellt einige Systemkomponenten bereit, deren Zugriff auf geheime Kubernetes-Schlüssel weiter eingeschränkt sein könnte.
5.1.3 Red Hat OpenShift on IBM Cloud stellt einige Systemkomponenten bereit, deren Kubernetes-Ressourcenzugriff weiter eingeschränkt sein könnte.
5.1.5 Red Hat OpenShift on IBM Cloud legt automountServiceAccountToken: false nicht für jedes Standardservicekonto fest.
5.1.6 Red Hat OpenShift on IBM Cloud implementiert einige Systemkomponenten, die automountServiceAccountToken: false festlegen könnten.
5.2.2 Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind.
5.2.3 Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind.
5.2.4 Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind.
5.2.5 Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind.
5.2.6 Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind.
5.2.7 Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind.
5.2.8 Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind.
5.2.9 Red Hat OpenShift on IBM Cloud kann optional OpenShift Sicherheitskontexteinschränkungen und Kubernetes Pod-Sicherheitszulassung konfigurieren, die den veralteten Kubernetes Pod-Sicherheitsrichtlinien ähnlich sind.
5.4.1 Red Hat OpenShift on IBM Cloud stellt einige Systemkomponenten bereit, die die Verwendung von geheimen Schlüsseln als Dateien gegenüber geheimen Schlüsseln als Umgebungsvariablen vorziehen könnten.
5.4.2 Red Hat OpenShift on IBM Cloud kann optional den Dienst Secrets Manager aktivieren.
5.5.1 Red Hat OpenShift on IBM Cloud kann optional Durchsetzung der Imagesicherheit aktivieren.
5.6.2 Red Hat OpenShift on IBM Cloud werden nicht alle Pods mit seccomp Profilen versehen.
5.6.3 Red Hat OpenShift on IBM Cloud stellt einige Systemkomponenten bereit, die keinen Pod- oder Container-securityContext festlegen.