4.21 CIS Kubernetes référence

Le Center for Internet Security ( CIS ) publie le référentiel « CIS »(Kubernetes) sous la forme d’un cadre définissant des étapes spécifiques permettant de configurer Kubernetes de manière plus sécurisée, conformément à des normes adaptées aux différentes réglementations du secteur. Ce document présente les résultats du test de performance « version 1.12 CIS Kubernetes » pour les clusters exécutant la version 4.21 de Red Hat OpenShift on IBM Cloud. Pour plus d'informations ou pour vous aider à comprendre le benchmark, consultez la section « Utilisation du benchmark ».

1 Configuration de la sécurité du plan de contrôle

1.1 Fichiers de configuration du plan de contrôle d' Node

Section « 1.1 » (Plan de contrôle) « Node » (Fichiers de configuration) Résultats des tests de performance
Section Recommandation. Marqué? Niveau Résultat Responsibilité
1.1.1 Assurez-vous que les autorisations du fichier de spécification du pod du serveur API sont définies sur « 600 » ou sur un niveau plus restrictif. Evalué 1 Réussite IBM
1.1.2 Vérifiez que la propriété du fichier de spécification de pod de serveur d'API est définie sur root:root. Evalué 1 Réussite IBM
1.1.3 Assurez-vous que les autorisations du fichier de spécification du pod « controller manager » sont définies sur « 600 » ou sur un niveau plus restrictif. Evalué 1 Réussite IBM
1.1.4 Vérifiez que la propriété du fichier de spécification de pod de gestionnaire de contrôleurs est définie sur root:root. Evalué 1 Réussite IBM
1.1.5 Assurez-vous que les autorisations du fichier de spécification du pod du planificateur sont définies sur « 600 » ou sur un niveau plus restrictif. Evalué 1 Réussite IBM
1.1.6 Vérifiez que la propriété du fichier de spécification de pod de planificateur est définie sur root:root. Evalué 1 Réussite IBM
1.1.7 Assurez-vous que les droits d'accès au fichier de spécification du pod « etcd » sont définis sur « 600 » ou sur un niveau plus restrictif. Evalué 1 Réussite IBM
1.1.8 Vérifiez que la propriété du fichier de spécification de pod etcd est définie sur root:root. Evalué 1 Réussite IBM
1.1.9 Assurez-vous que les droits d'accès au fichier « Container Network Interface » sont définis sur « 600 » ou sur un niveau plus restrictif. Non évalué 1 Réussite IBM
1.1.10 Vérifiez que la propriété du fichier d'interface CNI (Container Network Interface) est définie sur root:root. Non évalué 1 Réussite IBM
1.1.11 Vérifiez que les droits sur le répertoire de données etcd sont définis sur 700 ou sont plus restrictifs. Evalué 1 Réussite IBM
1.1.12 Vérifiez que la propriété du répertoire de données etcd est définie sur etcd:etcd. Evalué 1 Réussite IBM
1.1.13 Assurez-vous que les autorisations par défaut du fichier contenant les identifiants d'administration sont définies sur « 600 ». Evalué 1 Réussite IBM
1.1.14 Assurez-vous que le propriétaire par défaut du fichier contenant les identifiants d'administration est bien défini sur « root:root ». Evalué 1 Réussite IBM
1.1.15 Assurez-vous que les droits d'accès au fichier « scheduler.conf » sont définis sur « 600 » ou sur un niveau plus restrictif. Evalué 1 Réussite IBM
1.1.16 Vérifiez que la propriété du fichier scheduler.conf est définie sur root:root. Evalué 1 Réussite IBM
1.1.17 Assurez-vous que les droits d'accès au fichier « controller-manager.conf » sont définis sur « 600 » ou sur un niveau plus restrictif. Evalué 1 Réussite IBM
1.1.18 Vérifiez que la propriété du fichier controller-manager.conf est définie sur root:root. Evalué 1 Réussite IBM
1.1.19 Vérifiez que la propriété du fichier et du répertoire PKI Kubernetes est définie sur root:root. Evalué 1 Réussite IBM
1.1.20 Vérifiez que les droits sur le fichier de certificat PKI Kubernetes sont définis sur 644 ou sont plus restrictifs. Non évalué 1 Réussite IBM
1.1.21 Vérifiez que les droits sur le fichier de clés PKI Kubernetes sont définis sur 600. Non évalué 1 Réussite IBM

1.2 Serveur API

Section 1.2 Résultats du test de performances du serveur d'API
Section Recommandation. Marqué? Niveau Résultat Responsibilité
1.2.1 Vérifiez que l'argument --anonymous-auth est défini sur false. Non évalué 1 Échec IBM
1.2.2 Vérifiez que le paramètre --token-auth-file n'est pas défini. Evalué 1 Réussite IBM
1.2.3 Assurez-vous que l'option « DenyServiceExternalIPs » est activée. Non évalué 1 Échec IBM
1.2.4 Vérifiez que les arguments --kubelet-client-certificate et --kubelet-client-key sont correctement définis. Evalué 1 Réussite IBM
1.2.5 Vérifiez que l'argument --kubelet-certificate-authority est correctement défini. Evalué 1 Réussite IBM
1.2.6 Vérifiez que l'argument --authorization-mode n'est pas défini sur AlwaysAllow. Evalué 1 Réussite IBM
1.2.7 Assurez-vous que l'argument « --authorization-mode » inclut « Node ». Evalué 1 Réussite IBM
1.2.8 Assurez-vous que l'argument « --authorization-mode » inclut « RBAC ». Evalué 1 Réussite IBM
1.2.9 Vérifiez que le plug-in de contrôle d'admission EventRateLimit est défini. Non évalué 1 Échec IBM
1.2.10 Vérifiez que le plug-in de contrôle d'admission AlwaysAdmit n'est pas défini. Evalué 1 Réussite IBM
1.2.11 Vérifiez que le plug-in de contrôle d'admission AlwaysPullImages est défini. Non évalué 1 Échec IBM
1.2.12 Vérifiez que le plug-in de contrôle d'admission ServiceAccount est défini. Evalué 2 Réussite IBM
1.2.13 Vérifiez que le plug-in de contrôle d'admission NamespaceLifecycle est défini. Evalué 2 Réussite IBM
1.2.14 Vérifiez que le plug-in de contrôle d'admission NodeRestriction est défini. Evalué 2 Réussite IBM
1.2.15 Vérifiez que l'argument --profiling est défini sur false. Evalué 1 Réussite IBM
1.2.16 Vérifiez que l'argument --audit-log-path est défini. Evalué 1 Réussite Partagée
1.2.17 Vérifiez que l'argument --audit-log-maxage est défini sur 30 ou comme approprié. Evalué 1 Échec Partagée
1.2.18 Vérifiez que l'argument --audit-log-maxbackup est défini sur 10 ou comme approprié. Evalué 1 Réussite Partagée
1.2.19 Vérifiez que l'argument --audit-log-maxsize est défini sur 100 ou comme approprié. Evalué 1 Réussite Partagée
1.2.20 Vérifiez que l'argument --request-timeout est correctement défini. Non évalué 1 Réussite IBM
1.2.21 Vérifiez que l'argument --service-account-lookup est défini sur true. Evalué 1 Réussite IBM
1.2.22 Vérifiez que l'argument --service-account-key-file est correctement défini. Evalué 1 Réussite IBM
1.2.23 Vérifiez que les arguments --etcd-certfile et --etcd-keyfile sont correctement définis. Evalué 1 Réussite IBM
1.2.24 Vérifiez que les arguments --tls-cert-file et --tls-private-key-file sont correctement définis. Evalué 1 Réussite IBM
1.2.25 Vérifiez que l'argument --client-ca-file est correctement défini. Evalué 1 Réussite IBM
1.2.26 Vérifiez que l'argument --etcd-cafile est correctement défini. Evalué 1 Réussite IBM
1.2.27 Vérifiez que l'argument --encryption-provider-config est correctement défini. Non évalué 1 Échec Partagée
1.2.28 Vérifiez que les fournisseurs de chiffrement sont correctement configurés. Non évalué 1 Échec Partagée
1.2.29 Vérifiez que le serveur d'API utilise uniquement des chiffrements cryptographiques puissants. Non évalué 1 Réussite IBM
1.2.30 Assurez-vous que le paramètre --service-account-extend-token-expiration est réglé sur false. Evalué 1 Échec IBM

1.3 Gestionnaire de contrôleurs

Section 1.3 Résultats du test de performances du gestionnaire de contrôleurs
Section Recommandation. Marqué? Niveau Résultat Responsibilité
1.3.1 Vérifiez que l'argument --terminated-pod-gc-threshold est correctement défini. Non évalué 1 Réussite IBM
1.3.2 Vérifiez que l'argument --profiling est défini sur false. Evalué 1 Réussite IBM
1.3.3 Vérifiez que l'argument --use-service-account-credentials est défini sur true. Evalué 1 Réussite IBM
1.3.4 Vérifiez que l'argument --service-account-private-key-file est correctement défini. Evalué 1 Réussite IBM
1.3.5 Vérifiez que l'argument --root-ca-file est correctement défini. Evalué 1 Réussite IBM
1.3.6 Vérifiez que l'argument RotateKubeletServerCertificate est défini sur true. Evalué 1 Réussite IBM
1.3.7 Vérifiez que l'argument --bind-address est défini sur 127.0.0.1. Evalué 1 Réussite IBM

1.4 Planificateur

Section 1.4 Résultats du test de performances du planificateur
Section Recommandation. Marqué? Niveau Résultat Responsibilité
1.4.1 Vérifiez que l'argument --profiling est défini sur false. Evalué 1 Réussite IBM
1.4.2 Vérifiez que l'argument --bind-address est défini sur 127.0.0.1. Evalué 1 Réussite IBM

2 Configuration du noeud Etcd

Section 2 Résultats du test de performances de la configuration du noeud Etcd

Recommandation. Marqué? Niveau Résultat Responsibilité
2.1 Vérifiez que les arguments --cert-file et --key-file sont correctement définis. Evalué 1 Réussite IBM
2.2 Vérifiez que l'argument --client-cert-auth est défini sur true. Evalué 1 Réussite IBM
2.3 Vérifiez que l'argument --auto-tls n'est pas défini sur true. Evalué 1 Réussite IBM
2.4 Vérifiez que les arguments --peer-cert-file et --peer-key-file sont correctement définis. Evalué 1 Réussite IBM
2.5 Vérifiez que l'argument --peer-client-cert-auth est défini sur true. Evalué 1 Réussite IBM
2.6 Vérifiez que l'argument --peer-auto-tls n'est pas défini sur true. Evalué 1 Réussite IBM
2.7 Vérifiez qu'une autorité de certification unique est utilisée pour etcd. Non évalué 2 Réussite IBM

3 Configuration du plan de contrôle

3.1 Authentification et autorisation

Section 3.1 Résultats du test de performances de l'authentification et de l'autorisation
Section Recommandation. Marqué? Niveau Résultat Responsibilité
3.1.1 L'authentification par certificat client ne doit pas être utilisée pour les utilisateurs. Non évalué 1 Réussite Partagée
3.1.2 L'authentification par jeton de compte de service ne doit pas être utilisée pour les utilisateurs. Non évalué 1 Réussite Partagée
3.1.3 L'authentification par jeton Bootstrap ne doit pas être utilisée pour les utilisateurs. Non évalué 1 Réussite Partagée

3.2 Journalisation

Section 3.2 Résultats du test de performances de la journalisation
Section Recommandation. Marqué? Niveau Résultat Responsibilité
3.2.1 Vérifiez qu'une règle d'audit minimale est créée. Non évalué 1 Échec Partagée
3.2.2 Vérifiez que la règle d'audit couvre les principales préoccupations en matière de sécurité. Non évalué 2 Échec Partagée

4 nœuds de travail ( RHEL_9_64 )

4.1 Fichiers de configuration de noeud worker

Section 4.1 Résultats du test de performances des fichiers de configuration des noeuds worker
Section Recommandation. Marqué? Niveau Résultat Responsibilité
4.1.1 Assurez-vous que les droits d'accès au fichier du service kubelet sont définis sur « 600 » ou sur une valeur plus restrictive. Evalué 1 Réussite IBM
4.1.2 Vérifiez que la propriété du fichier de service kubelet est définie sur root:root. Evalué 1 Réussite IBM
4.1.3 Si le fichier proxy kubeconfig existe, assurez-vous que les permissions sont réglées sur 600 ou plus restrictives. Non évalué 1 Réussite IBM
4.1.4 Si le fichier proxy kubeconfig existe, assurez-vous que la propriété est attribuée à root:root. Non évalué 1 Réussite IBM
4.1.5 Assurez-vous que les droits d'accès du fichier « -- kubeconfig » kubelet.conf sont définis sur « 600 » ou sur un niveau plus restrictif. Evalué 1 Réussite IBM
4.1.6 Assurez-vous que le propriétaire du fichier « -- kubeconfig » kubelet.conf est bien root:root. Evalué 1 Réussite IBM
4.1.7 Vérifiez que les droits sur le fichier des autorités de certification sont définis sur 644 ou sont plus restrictifs. Non évalué 1 Réussite IBM
4.1.8 Vérifiez que la propriété du fichier des autorités de certification client est définie sur root:root. Non évalué 1 Réussite IBM
4.1.9 Si le fichier de configuration du kubelet config.yaml est utilisé, valider les permissions à 600 ou plus restrictif. Evalué 1 Réussite IBM
4.1.10 Si le fichier de configuration du kubelet config.yaml est utilisé, la propriété du fichier de validation est fixée à root:root. Evalué 1 Réussite IBM

4.2 Kubelet

Section 4.2 Résultats du test de performances de Kubelet
Section Recommandation. Marqué? Niveau Résultat Responsibilité
4.2.1 Vérifiez que l'argument --anonymous-auth est défini sur false. Evalué 1 Réussite IBM
4.2.2 Vérifiez que l'argument --authorization-mode n'est pas défini sur AlwaysAllow. Evalué 1 Réussite IBM
4.2.3 Vérifiez que l'argument --client-ca-file est correctement défini. Evalué 1 Réussite IBM
4.2.4 Vérifiez que, si elle est définie, la valeur de readOnlyPort est fixée à 0. Non évalué 1 Réussite IBM
4.2.5 Vérifiez que l'argument --streaming-connection-idle-timeout n'est pas défini sur 0. Non évalué 1 Réussite IBM
4.2.6 Vérifiez que l'argument --make-iptables-util-chains est défini sur true. Evalué 1 Réussite IBM
4.2.7 Vérifiez que l'argument --hostname-override n'est pas défini. Non évalué 1 Échec IBM
4.2.8 Assurez-vous que l'argument « eventRecordQPS » est défini à un niveau permettant une capture adéquate des événements. Non évalué 2 Réussite IBM
4.2.9 Vérifiez que les arguments --tls-cert-file et --tls-private-key-file sont correctement définis. Non évalué 1 Réussite IBM
4.2.10 Vérifiez que l'argument --rotate-certificates n'est pas défini sur false. Evalué 1 Échec IBM
4.2.11 Vérifiez que l'argument « RotateKubeletServerCertificate » est défini sur « true ». Non évalué 1 Réussite IBM
4.2.12 Vérifiez que le Kubelet utilise uniquement des chiffrements cryptographiques puissants. Non évalué 1 Réussite IBM
4.2.13 Veillez à ce qu'une limite soit fixée sur le pod PIDs. Non évalué 1 Réussite IBM
4.2.14 Assurez-vous que le paramètre --seccomp-default est réglé sur true. Non évalué 1 Réussite IBM

4.3 Kube-proxy

Section 4.3 Résultats du benchmark Kube-proxy
Section Recommandation. Marqué? Niveau Résultat Responsibilité
4.3.1 Assurez-vous que le service de métrologie kube-proxy est lié à localhost. Evalué 1 Réussite IBM

4 Configuration de la sécurité des nœuds de travail (RHCOS)

4.1 Fichiers de configuration de noeud worker

Section 4.1 Résultats du test de performances des fichiers de configuration des noeuds worker
Section Recommandation. Marqué? Niveau Résultat Responsibilité
4.1.1 Assurez-vous que les droits d'accès au fichier du service kubelet sont définis sur « 600 » ou sur une valeur plus restrictive. Evalué 1 Réussite IBM
4.1.2 Vérifiez que la propriété du fichier de service kubelet est définie sur root:root. Evalué 1 Réussite IBM
4.1.3 Si le fichier proxy kubeconfig existe, assurez-vous que les permissions sont réglées sur 600 ou plus restrictives. Non évalué 1 Réussite IBM
4.1.4 Si le fichier proxy kubeconfig existe, assurez-vous que la propriété est attribuée à root:root. Non évalué 1 Réussite IBM
4.1.5 Assurez-vous que les droits d'accès du fichier « -- kubeconfig » kubelet.conf sont définis sur « 600 » ou sur un niveau plus restrictif. Evalué 1 Réussite IBM
4.1.6 Assurez-vous que le propriétaire du fichier « -- kubeconfig » kubelet.conf est bien root:root. Evalué 1 Réussite IBM
4.1.7 Vérifiez que les droits sur le fichier des autorités de certification sont définis sur 644 ou sont plus restrictifs. Non évalué 1 Réussite IBM
4.1.8 Vérifiez que la propriété du fichier des autorités de certification client est définie sur root:root. Non évalué 1 Réussite IBM
4.1.9 Si le fichier de configuration du kubelet config.yaml est utilisé, valider les permissions à 600 ou plus restrictif. Evalué 1 Réussite IBM
4.1.10 Si le fichier de configuration du kubelet config.yaml est utilisé, la propriété du fichier de validation est fixée à root:root. Evalué 1 Réussite IBM

4.2 Kubelet

Section 4.2 Résultats du test de performances de Kubelet
Section Recommandation. Marqué? Niveau Résultat Responsibilité
4.2.1 Vérifiez que l'argument --anonymous-auth est défini sur false. Evalué 1 Réussite IBM
4.2.2 Vérifiez que l'argument --authorization-mode n'est pas défini sur AlwaysAllow. Evalué 1 Réussite IBM
4.2.3 Vérifiez que l'argument --client-ca-file est correctement défini. Evalué 1 Réussite IBM
4.2.4 Vérifiez que, si elle est définie, la valeur de readOnlyPort est fixée à 0. Non évalué 1 Réussite IBM
4.2.5 Vérifiez que l'argument --streaming-connection-idle-timeout n'est pas défini sur 0. Non évalué 1 Réussite IBM
4.2.6 Vérifiez que l'argument --make-iptables-util-chains est défini sur true. Evalué 1 Réussite IBM
4.2.7 Vérifiez que l'argument --hostname-override n'est pas défini. Non évalué 1 Échec IBM
4.2.8 Assurez-vous que l'argument « eventRecordQPS » est défini à un niveau permettant une capture adéquate des événements. Non évalué 2 Réussite IBM
4.2.9 Vérifiez que les arguments --tls-cert-file et --tls-private-key-file sont correctement définis. Non évalué 1 Réussite IBM
4.2.10 Vérifiez que l'argument --rotate-certificates n'est pas défini sur false. Evalué 1 Réussite IBM
4.2.11 Vérifiez que l'argument « RotateKubeletServerCertificate » est défini sur « true ». Non évalué 1 Réussite IBM
4.2.12 Vérifiez que le Kubelet utilise uniquement des chiffrements cryptographiques puissants. Non évalué 1 Réussite IBM
4.2.13 Veillez à ce qu'une limite soit fixée sur le pod PIDs. Non évalué 1 Réussite IBM
4.2.14 Assurez-vous que le paramètre --seccomp-default est réglé sur true. Non évalué 1 Réussite IBM

4.3 Kube-proxy

Section 4.3 Résultats du benchmark Kube-proxy
Section Recommandation. Marqué? Niveau Résultat Responsibilité
4.3.1 Assurez-vous que le service de métrologie kube-proxy est lié à localhost. Evalué 1 Réussite IBM

5 Politiques

5.1 RBAC et comptes de service

Section 5.1 Résultats du test de performances du contrôle d'accès basé sur les rôles et des comptes de service
Section Recommandation. Marqué? Niveau Résultat Responsibilité
5.1.1 Veillez à ce que le rôle « cluster-admin » ne soit utilisé qu’en cas de nécessité. Non évalué 1 Réussite Partagée
5.1.2 Réduisez l'accès aux secrets. Non évalué 1 Échec Partagée
5.1.3 Réduisez l'utilisation des caractères génériques dans Roles et ClusterRoles. Non évalué 1 Échec Partagée
5.1.4 Réduisez l'accès à la création de pods. Non évalué 1 Réussite Partagée
5.1.5 Vérifiez que les comptes de service par défaut ne sont pas activement utilisés. Non évalué 1 Échec Partagée
5.1.6 Vérifiez que les jetons de compte de service ne sont montés qu'en cas de nécessité. Non évalué 1 Échec Partagée
5.1.7 Éviter l'utilisation du groupe system:masters. Non évalué 1 Réussite Partagée
5.1.8 Limiter l'utilisation des autorisations Bind, Impersonate et Escalate dans le cluster Kubernetes. Non évalué 1 Réussite Partagée
5.1.9 Minimiser l'accès à la création de volumes persistants. Non évalué 1 Réussite Partagée
5.1.10 Minimiser l'accès à la sous-ressource proxy des nœuds. Non évalué 1 Réussite Partagée
5.1.11 Minimiser l'accès à la sous-ressource d'approbation des objets certificatesigningrequests. Non évalué 1 Réussite Partagée
5.1.12 Réduire l'accès aux objets de configuration des webhooks. Non évalué 1 Réussite Partagée
5.1.13 Minimiser l'accès à la création de jetons de compte de service. Non évalué 1 Réussite Partagée

5.2 Normes de sécurité des pods

Section 5.2 Résultats de l'évaluation comparative des normes de sécurité des pods
Section Recommandation. Marqué? Niveau Résultat Responsibilité
5.2.1 S'assurer que le cluster dispose d'au moins un mécanisme actif de contrôle des politiques. Non évalué 1 Réussite Partagée
5.2.2 Réduisez l'admission des conteneurs privilégiés. Non évalué 1 Réussite Partagée
5.2.3 Réduisez l'admission des conteneurs souhaitant partager l'espace de noms de l'ID de processus hôte. Non évalué 1 Réussite Partagée
5.2.4 Réduisez l'admission des conteneurs souhaitant partager l'espace de noms IPC hôte. Non évalué 1 Réussite Partagée
5.2.5 Réduisez l'admission des conteneurs souhaitant partager l'espace de noms du réseau hôte. Non évalué 1 Réussite Partagée
5.2.6 Réduisez l'admission des conteneurs avec allowPrivilegeEscalation. Non évalué 1 Réussite Partagée
5.2.7 Réduisez l'admission des conteneurs racine. Non évalué 2 Réussite Partagée
5.2.8 Limiter au maximum l'admission des conteneurs dotés de la fonctionnalité NET_RAW. Non évalué 1 Réussite Partagée
5.2.9 Réduisez l'admission des conteneurs avec fonctionnalités affectées. Non évalué 2 Réussite Partagée
5.2.10 Minimiser l'admission de Windows HostProcess Containers. Non évalué 1 Réussite Partagée
5.2.11 Minimiser l'admission des volumes HostPath. Non évalué 1 Réussite Partagée
5.2.12 Minimiser l'admission des conteneurs qui utilisent HostPorts. Non évalué 1 Réussite Partagée

5.3 Politiques du réseau et CNI

Section 5.3 Résultats du test de performances des règles réseau et de CNI
Section Recommandation. Marqué? Niveau Résultat Responsibilité
5.3.1 Vérifiez que le CNI utilisé prend en charge des règles réseau. Non évalué 1 Réussite IBM
5.3.2 Vérifiez que des règles réseau ont été définies pour tous les espace de noms. Non évalué 2 Réussite Partagée

5.4 Gestion des secrets

Section 5.4 Résultats du test de performances de la gestion des secrets
Section Recommandation. Marqué? Niveau Résultat Responsibilité
5.4.1 Privilégiez l'utilisation de secrets sous forme de fichiers plutôt que de variables d'environnement. Non évalué 2 Échec Partagée
5.4.2 Envisagez le stockage de secrets externe. Non évalué 2 Échec Partagée

5.5 Contrôle d'admission extensible

Section 5.5 Résultats du test de performances du contrôle d'admission extensible
Section Recommandation. Marqué? Niveau Résultat Responsibilité
5.5.1 Configurez la provenance d'image à l'aide du contrôleur d'admission ImagePolicyWebhook. Non évalué 2 Échec Partagée

5.6 Politiques générales

Section 5.6 Résultats du test de performances des règles générales
Section Recommandation. Marqué? Niveau Résultat Responsibilité
5.6.1 Créez des limites administratives entre des ressources à l'aide d'espaces de noms. Non évalué 1 Réussite Partagée
5.6.2 Assurez-vous que le profil « seccomp » est défini sur « docker/default » dans vos définitions de pods. Non évalué 2 Échec Partagée
5.6.3 Appliquez un contexte de sécurité à vos pods et conteneurs. Non évalué 2 Échec Partagée
5.6.4 L'espace de noms par défaut ne doit pas être utilisé. Non évalué 2 Réussite Partagée

IBM Résolutions et explications

Section IBM remédiations et explications résultats du benchmarking
Section Remediation and explanation.
1.2.1 Red Hat OpenShift on IBM Cloud utilise RBAC pour la protection de cluster, mais permet une reconnaissance anonyme, ce qui est considéré comme raisonnable pour le test de performances CIS Kubernetes.
1.2.3 OpenShift utilise d' autres contrôles d'atténuation pour restreindre le service externe IPs.
1.2.9 Red Hat OpenShift on IBM Cloud n'active pas le contrôleur d'admission Limite d'événements car il s'agit d'une fonction alpha de Kubernetes.
1.2.11 Red Hat OpenShift on IBM Cloud n'active pas le contrôleur d'admission AlwaysPullImages car il remplace le conteneur _imagePullPolicy_ et peut avoir un impact sur les performances.
1.2.17 Red Hat OpenShift on IBM Cloud peut éventuellement activer l'audit du serveur API Kubernetes.
1.2.27 Red Hat OpenShift on IBM Cloud peut éventuellement activer un fournisseur KMS (Kubernetes Key Management Service).
1.2.28 Red Hat OpenShift on IBM Cloud peut éventuellement activer un fournisseur KMS (Kubernetes Key Management Service).
1.2.30 OpenShift ne permet pas de désactiver --service-account-extend-token-expiration.
3.2.1 Red Hat OpenShift on IBM Cloud peut éventuellement activer l'audit du serveur API Kubernetes.
3.2.2 Red Hat OpenShift on IBM Cloud peut éventuellement activer l'audit du serveur API Kubernetes.
4.2.7 Red Hat OpenShift on IBM Cloud garantit que le nom d'hôte correspond au nom émis par l'infrastructure.
4.2.10 Red Hat OpenShift on IBM Cloud renouvelle les certificats à chaque rechargement ou mise à jour des nœuds de travail.
5.1.2 Red Hat OpenShift on IBM Cloud déploie certains composants système susceptibles de restreindre davantage l'accès au secret de Kubernetes.
5.1.3 Red Hat OpenShift on IBM Cloud déploie certains composants système qui pourraient restreindre davantage l'accès aux ressources de Kubernetes.
5.1.5 Red Hat OpenShift on IBM Cloud ne défini pas AutomountServiceAccountToken: false pour chaque compte de service par défaut.
5.1.6 Red Hat OpenShift on IBM Cloud déploie certains composants système qui peuvent définir AutomountServiceAccountToken: false.
5.2.2 Red Hat OpenShift on IBM Cloud peut optionnellement configurer OpenShift security context constraints et Kubernetes pod security admission qui sont similaires aux politiques de sécurité des pods Kubernetes qui sont obsolètes.
5.2.3 Red Hat OpenShift on IBM Cloud peut optionnellement configurer OpenShift security context constraints et Kubernetes pod security admission qui sont similaires aux politiques de sécurité des pods Kubernetes qui sont obsolètes.
5.2.4 Red Hat OpenShift on IBM Cloud peut optionnellement configurer OpenShift security context constraints et Kubernetes pod security admission qui sont similaires aux politiques de sécurité des pods Kubernetes qui sont obsolètes.
5.2.5 Red Hat OpenShift on IBM Cloud peut optionnellement configurer OpenShift security context constraints et Kubernetes pod security admission qui sont similaires aux politiques de sécurité des pods Kubernetes qui sont obsolètes.
5.2.6 Red Hat OpenShift on IBM Cloud peut optionnellement configurer OpenShift security context constraints et Kubernetes pod security admission qui sont similaires aux politiques de sécurité des pods Kubernetes qui sont obsolètes.
5.2.7 Red Hat OpenShift on IBM Cloud peut optionnellement configurer OpenShift security context constraints et Kubernetes pod security admission qui sont similaires aux politiques de sécurité des pods Kubernetes qui sont obsolètes.
5.2.8 Red Hat OpenShift on IBM Cloud peut optionnellement configurer OpenShift security context constraints et Kubernetes pod security admission qui sont similaires aux politiques de sécurité des pods Kubernetes qui sont obsolètes.
5.2.9 Red Hat OpenShift on IBM Cloud peut optionnellement configurer OpenShift security context constraints et Kubernetes pod security admission qui sont similaires aux politiques de sécurité des pods Kubernetes qui sont obsolètes.
5.4.1 Red Hat OpenShift on IBM Cloud déploie certains composants système qui peuvent préférer utiliser des valeurs confidentielles en tant que fichiers sur des valeurs confidentielles en tant que variables d'environnement.
5.4.2 Red Hat OpenShift on IBM Cloud peut éventuellement activer le service Secrets Manager.
5.5.1 Red Hat OpenShift on IBM Cloud peut éventuellement activer l'application de la sécurité des images.
5.6.2 Red Hat OpenShift on IBM Cloud n'annote pas tous les pods avec les profils seccomp.
5.6.3 Red Hat OpenShift on IBM Cloud déploie certains composants système qui n'établissent pas de pod ou conteneur Contexte de sécurité.