4.17 コンプライアンス・オペレーター・ベンチマーク

Red Hat OpenShift on IBM Cloudバージョン4.17のコンプライアンス・オペレータ・ベンチマーク結果を確認してください。

1 コントロール・プレーン・コンポーネント

1.1 マスター・ノードの構成ファイル

マスターノードのコンフィギュレーションはファイルセットとして保存されないため、セクション 1.1 のルールはコンプライアンス・オペレーターによる自動チェックの対象外となります。

1.2 API サーバー

APIサーバーのベンチマーク。
セクション レコメンデーション マニュアル/オートメーション レベル 結果
1.2.1 Ensure 匿名リクエストが許可される。 Manual 1 Pass
1.2.2 Ensure --basic-auth-file 引数が設定されていないことを示す。 Automated 1
1.2.3 Ensure --token-auth-file パラメーターが設定されていない。 Automated 1
1.2.4 Use kubelet接続用のhttps。 Automated 1 Pass
｜ 1.2.5 Ensure、キューブレットが証明書を使用して認証する。｜ Automated 1 Not ｜チェック済み
1.2.6 Verify kubelet 認証局が適切に設定されていることを確認します。 Automated 1 Pass
1.2.7 Ensure --authorization-mode 引数が AlwaysAllow に設定されていないこと。 Automated 1 Pass
1.2.8 Verify Node オーソライザーが有効になっていること。 Automated 1
1.2.9 Verify RBACが有効になっている。 Automated 1 Pass
1.2.10 Ensure APIPriorityAndFairness 機能ゲートが有効であることを示す。 Manual 1
1.2.11 Ensure AlwaysAdmit が設定されていない。 Automated 1
1.2.12 Ensure AlwaysPullImages が設定されていない。 Manual 1
1.2.13 Ensure SecurityContextDeny が設定されていない。 Manual 1
1.2.14 Ensure ServiceAccount が設定されている。 Automated 1
1.2.15 Ensure NamespaceLifecycle が設定されている。 Automated 1
1.2.16 Ensure SecurityContextConstraint が設定されている。 Automated 1
1.2.17 Ensure NodeRestriction が設定されている。 Automated 1
1.2.18 Ensure --insecure-bind-address 引数が設定されていないことを示す。 Automated 1
--insecure-port 引数が0に設定されていることを 1.2.19 Ensure Automated 1 Not チェックした
1.2.20 Ensure --secure-port 引数が0に設定されていないこと。 Automated 1
1.2.21 Ensure healthz エンドポイントがRBACによって保護されている。 Automated 1 Pass
1.2.22 Ensure --audit-log-path 引数が設定されていることを示す。 Automated 1
1.2.23 Ensure、監査ログをクラスタ外に転送して保存する。 自動 1 チェックされて いません
1.2.24 Ensure maximumRetainedFiles 引数が 10 または適切なものに設定されていること。 自動 1
1.2.25 Ensure maximumFileSizeMegabytes 引数が 100 または適切なものに設定されていること。 自動 1
1.2.26 Ensure --request-timeout 引数が適切に設定されていること。 Automated 1
1.2.27 Ensure --service-account-lookup 引数がtrueに設定されていること。 Automated 1
1.2.28 Ensure --service-account-key-file 引数が適切に設定されていること。 Automated 1
1.2.29 Ensure --etcd-certfile と --etcd-keyfile の引数が適切に設定されていること。 Automated 1 Pass
1.2.30 Ensure --tls-cert-file と --tls-private-key-file の引数が適切に設定されていること。 Automated 1 Pass
1.2.31 Ensure --client-ca-file 引数が適切に設定されていること。 Automated 1
1.2.32 Ensure --etcd-cafile 引数が適切に設定されていること。 Automated 1
1.2.33 Ensure --encryption-provider-config 引数が適切に設定されていること。 マニュアル 1
1.2.34 Ensure、暗号化プロバイダが適切に設定されていること。 マニュアル 1 チェックされて いません
1.2.35 Ensure APIサーバーは強力な暗号のみを使用する。 Manual 1 Pass

1.3 コントローラー・マネージャー

コントローラー・マネージャーのベンチマーク
セクション レコメンデーション マニュアル/オートメーション レベル 結果
Manual 1 Not 1.3.1 Ensure ガベージコレクションが適切に設定されていることを確認した
1.3.2 Ensure、コントローラマネージャ healthz のエンドポイントはRBACで保護されている。 Automated 1 Pass
1.3.3 Ensure --use-service-account-credentials 引数がtrueに設定されていること。 Automated 1
1.3.4 Ensure --service-account-private-key-file 引数が適切に設定されていること。 Automated 1
1.3.5 Ensure --root-ca-file 引数が適切に設定されていること。 Automated 1
1.3.6 Ensure RotateKubeletServerCertificate 引数がtrueに設定されていること。 Automated 2
1.3.7 Ensure --bind-address 引数が 127.0.0.1 に設定されていること。 Automated 1 Pass

1.4 スケジューラー

スケジューラのベンチマーク。
セクション レコメンデーション マニュアル/オートメーション レベル 結果
1.4.1 Ensure、スケジューラーの healthz エンドポイントはRBACによって保護されている。 Automated 1 Pass
1.4.2 Verify スケジューラAPIサービスが認証と認可によって保護されていること。 Automated 1 Pass

2 その他

etcd のベンチマーク。
セクション レコメンデーション マニュアル/オートメーション レベル 結果
2.1 Ensure --cert-file と --key-file の引数が適切に設定されていること。 Automated 1 Pass
2.2 Ensure --client-cert-auth 引数がtrueに設定されていること。 Automated 1
2.3 Ensure --auto-tls 引数がtrueに設定されていないこと。 Automated 1
2.4 Ensure --peer-cert-file と --peer-key-file の引数が適切に設定されていること。 Automated 1 Pass
2.5 Ensure --peer-client-cert-auth 引数がtrueに設定されていること。 Automated 1
2.6 Ensure --peer-auto-tls 引数がtrueに設定されていないこと。 Automated 1
etcd、一意の認証局が使用されることを 2.7 Ensure。 マニュアル 2 チェックされて いません

3 コントロール・プレーンの構成

3.1 認証および許可

認証と認可のベンチマーク。
セクション レコメンデーション マニュアル/オートメーション レベル 結果
3.1.1 Client 証明書認証はユーザーに使用すべきではない。 Manual 2 Pass

3.2 ロギング

ロギングのベンチマーク。
セクション レコメンデーション マニュアル/オートメーション レベル 結果
3.2.1 Ensure 最小の監査ポリシーが作成される。 Automated 1 Pass
3.2.2 Ensure、監査方針が重要なセキュリティ上の懸念をカバーしている。 Manual 2 Pass

4 ワーカーノード

コンプライアンス・オペレータ を使用して、ワーカー・ノード構成の自動チェックを実行する」の指示に従ってください。

5 ポリシー

5.1 RBAC およびサービス・アカウント

Rbacとサービスアカウントベンチマーク。
セクション レコメンデーション マニュアル/オートメーション レベル 結果
5.1.1 Ensure クラスタ管理ロールは必要な場合にのみ使用される。 Manual 1 Pass
Manual 1 Not チェック済み｜ 5.1.2 Minimize 秘密へのアクセス
Roles と ClusterRoles で 5.1.3 Minimize ワイルドカードを使用。 Manual 1 Not をチェック
5.1.4 Minimize Manual 1
Automated 1 Not チェック済み｜ 5.1.5 Ensure デフォルトのサービスアカウントアクティブに使用されていない
Manual 1 Not チェック済み｜ 5.1.6 Ensure サービス・ アカウント必要な場合にのみマウントされる

5.2 ポッド・セキュリティー・ポリシー

ポッドセキュリティポリシーのベンチマーク
セクション レコメンデーション マニュアル/オートメーション レベル 結果
Manual 1 Not チェック済み｜ 5.2.1 Minimize 特権コンテナの入場
Automated 1 Not チェック済み｜ 5.2.2 Minimize ホストプロセスID名前空間を共有したいコンテナの入場
Automated 1 Not チェック済み｜ 5.2.3 Minimize ホストのIPC名前空間を共有したいコンテナの入場
Automated 1 Not チェック済み｜ 5.2.4 Minimize ホストのネットワーク・ネームスペースを共有したいコンテナの入場を許可する
allowPrivilegeEscalation Automated 1 Not をチェックした上で、 5.2.5 Minimize コンテナの入場を許可する
Manual 2 Not チェック済み｜ 5.2.6 Minimize ルート・コンテナの入場
Manual 1 Not チェック済み｜ 5.2.7 Minimize NET_RAWケイパビリティを持つコンテナのアドミッション
5.2.8 Minimize、機能を追加したコンテナの入場を許可する。 マニュアル 1 チェックされて いません
Manual 2 Not チェック済み｜ 5.2.9 Minimize 機能が割り当てられたコンテナの入場

5.3 ネットワーク・ポリシーおよび CNI

ネットワークポリシーとCNIのベンチマーク。
セクション レコメンデーション マニュアル/オートメーション レベル 結果
5.3.1 Ensure 使用中のCNIがネットワークポリシーをサポートしていること。 Manual 1 Pass
5.3.2 Ensure、すべてのネームスペースにネットワークポリシーが定義されています。 自動 2 チェックされて いません

5.4 シークレット管理

秘密管理のベンチマーク
セクション レコメンデーション マニュアル/オートメーション レベル 結果
5.4.1 Prefer シークレットを環境変数としてではなく、ファイルとして使用する。 Manual 1 Not をチェックした
Manual 2 Not チェック済み｜ 5.4.2 Consider 外部秘密記憶装置

5.5 拡張可能アドミッション制御

拡張可能なアドミッション制御のベンチマーク。
セクション レコメンデーション マニュアル/オートメーション レベル 結果
Manual 2 Not チェック済み｜ 5.5.1 Configure イメージ・コントローラ設定パラメータを使用したイメージ・プロヴェナンス

5.5.7一般方針

一般政策のベンチマーク
セクション レコメンデーション マニュアル/オートメーション レベル 結果
5.7.1 Create 名前空間を使用したリソース間の管理上の境界。 Manual 1 Not チェック済み
Manual 2 Not seccomp プロファイルがポッド定義で docker/default に設定されていることを 5.7.2 Ensure 確認しました
Manual 2 Not チェック済み｜ 5.7.3 Apply セキュリティ・コンテキストをポッドとコンテナに
Automated 2 Not 5.7.4 The デフォルトの名前空間は使うべきではない

IBM 修正処置と説明

CIS Benchmark の結果について、 IBM からの情報を確認する。

IBM 改善策と説明の詳細。
セクション 推奨／説明
1.2.23 Red Hat OpenShift IBM Kubernetes API サーバーの監査を有効にすることができます。
1.2.24 Red Hat OpenShift on IBM クラウドは maximumRetainedFiles 引数を1に設定する。
1.2.25 Red Hat OpenShift on IBM クラウドは maximumFileSizeMegabytes 引数を 10 に設定する。
1.2.33 Red Hat OpenShift IBM Kubernetes Key Management Service (KMS)プロバイダーを有効にすることができます。
1.2.34 Red Hat OpenShift IBM Kubernetes Key Management Service (KMS)プロバイダーを有効にすることができます。
2.7 Red Hat OpenShift IBM クラウドでは、 用に一意の認証局を設定します。 etcd
5.2.8 Red Hat OpenShift IBM クラウドはカスタム をインストールする。 SCCs
5.3.2 Red Hat OpenShift on IBM Cloud には、デフォルトの Calico ネットワーク・ポリシーのセットが定義されており、オプションでネットワーク・ポリシーを追加することができる。