4.22 CIS Kubernetes ベンチマーク
インターネットセキュリティセンター（ CIS ）は、「 CIS Kubernetes Benchmark 」を公開しています。これは、 Kubernetes をより安全に設定するための具体的な手順の枠組みであり、さまざまな業界規制に見合った基準に基づいています。 本書は、バージョン 1.12 CIS Kubernetes のベンチマーク結果について、 Red Hat OpenShift on IBM Cloud バージョン 4.22 を実行するクラスタを対象としてまとめたものです。 詳細情報やベンチマークの理解に関するサポートについては、「 ベンチマークの使用方法 」を参照してください。
1 コントロールプレーンのセキュリティ設定
1.1 コントロールプレーン「 Node 」の設定ファイル
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 1.1.1 | APIサーバーのPod仕様ファイルのアクセス権限が、 600 またはそれより制限の厳しい設定になっていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.2 | API サーバーのポッド指定ファイルの所有権が root:root に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.3 | コントローラーマネージャーのPod仕様ファイルのアクセス権限が、 600 またはそれ以上に制限された設定になっていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.4 | コントローラー・マネージャーのポッド指定ファイルの所有権が root:root に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.5 | スケジューラ・ポッドの仕様ファイルのアクセス権限が、 600 またはそれよりも制限の厳しい設定になっていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.6 | スケジューラーのポッド指定ファイルの所有権が root:root に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.7 | etcd のポッド仕様ファイルのアクセス権限が、「 600 」またはそれより厳格な設定になっていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.8 | etcd のポッド指定ファイルの所有権が root:root に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.9 | コンテナのネットワークインターフェースのファイル権限が「 600 」またはそれよりも厳格な設定になっていることを確認してください。 |
スコア対象外 | 1 | 合格 | IBM |
| 1.1.10 | コンテナー・ネットワーク・インターフェース・ファイルの所有権が root:root に設定されていることを確認します。 |
スコア対象外 | 1 | 合格 | IBM |
| 1.1.11 | etcd データ・ディレクトリーのアクセス権が 700 またはこれより制限が厳しい値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.12 | etcd データ・ディレクトリーの所有権が etcd:etcd に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.13 | 管理用認証情報のファイルのアクセス権が、デフォルトで「 600 」に設定されていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.14 | 管理用認証情報のファイルの所有権が、デフォルトで「 root:root 」に設定されていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.15 | scheduler.conf ファイルのアクセス権が「 600 」またはそれ以上の制限レベルに設定されていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.16 | scheduler.conf ファイルの所有権が root:root に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.17 | controller-manager.conf ファイルのアクセス権が「 600 」またはそれ以上の制限レベルに設定されていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.18 | controller-manager.conf ファイルの所有権が root:root に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.19 | Kubernetes PKI ディレクトリーおよびファイルの所有権が root:root に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.1.20 | Kubernetes PKI 証明書ファイルのアクセス権が 644 またはこれより制限が厳しい値に設定されていることを確認します。 |
スコア対象外 | 1 | 合格 | IBM |
| 1.1.21 | Kubernetes PKI 鍵ファイルのアクセス権が 600 に設定されていることを確認します。 |
スコア対象外 | 1 | 合格 | IBM |
1.2 API サーバー
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 1.2.1 | --anonymous-auth 引数が false に設定されていることを確認します。 |
スコア対象外 | 1 | 不合格 | IBM |
| 1.2.2 | --token-auth-file パラメーターが設定されていないことを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.2.3 | DenyServiceExternalIPs が設定されていることを確認してください。 |
スコア対象外 | 1 | 不合格 | IBM |
| 1.2.4 | --kubelet-client-certificate 引数と --kubelet-client-key 引数が適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.2.5 | --kubelet-certificate-authority 引数が適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.2.6 | --authorization-mode 引数が AlwaysAllow に設定されていないことを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.2.7 | --authorization-mode 引数に Node が含まれていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 1.2.8 | --authorization-mode 引数にRBACが含まれていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 1.2.9 | アドミッション制御プラグインが EventRateLimit に設定されていることを確認します。 |
スコア対象外 | 1 | 不合格 | IBM |
| 1.2.10 | アドミッション制御プラグインが AlwaysAdmit に設定されていないことを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.2.11 | アドミッション制御プラグインが AlwaysPullImages に設定されていることを確認します。 |
スコア対象外 | 1 | 不合格 | IBM |
| 1.2.12 | アドミッション制御プラグインが ServiceAccount に設定されていることを確認します。 |
スコア対象 | 2 | 合格 | IBM |
| 1.2.13 | アドミッション制御プラグインが NamespaceLifecycle に設定されていることを確認します。 |
スコア対象 | 2 | 合格 | IBM |
| 1.2.14 | アドミッション制御プラグインが NodeRestriction に設定されていることを確認します。 |
スコア対象 | 2 | 合格 | IBM |
| 1.2.15 | --profiling 引数が false に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.2.16 | --audit-log-path 引数が設定されていることを確認します。 |
スコア対象 | 1 | 合格 | 共有 |
| 1.2.17 | --audit-log-maxage 引数が 30 または適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 不合格 | 共有 |
| 1.2.18 | --audit-log-maxbackup 引数が 10 または適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | 共有 |
| 1.2.19 | --audit-log-maxsize 引数が 100 または適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | 共有 |
| 1.2.20 | --request-timeout 引数が適切な値に設定されていることを確認します。 |
スコア対象外 | 1 | 合格 | IBM |
| 1.2.21 | --service-account-lookup 引数が true に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.2.22 | --service-account-key-file 引数が適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.2.23 | --etcd-certfile 引数と --etcd-keyfile 引数が適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.2.24 | --tls-cert-file 引数と --tls-private-key-file 引数が適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.2.25 | --client-ca-file 引数が適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.2.26 | --etcd-cafile 引数が適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.2.27 | --encryption-provider-config 引数が適切な値に設定されていることを確認します。 |
スコア対象外 | 1 | 不合格 | 共有 |
| 1.2.28 | 暗号化プロバイダーが適切に構成されていることを確認します。 | スコア対象外 | 1 | 不合格 | 共有 |
| 1.2.29 | API サーバーで強力な暗号方式のみが使用されていることを確認します。 | スコア対象外 | 1 | 合格 | IBM |
| 1.2.30 | --service-account-extend-token-expiration パラメータが false に設定されていることを確認してください。 |
スコア対象 | 1 | 不合格 | IBM |
1.3 コントローラー・マネージャー
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 1.3.1 | --terminated-pod-gc-threshold 引数が適切な値に設定されていることを確認します。 |
スコア対象外 | 1 | 合格 | IBM |
| 1.3.2 | --profiling 引数が false に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.3.3 | --use-service-account-credentials 引数が true に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.3.4 | --service-account-private-key-file 引数が適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.3.5 | --root-ca-file 引数が適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.3.6 | RotateKubeletServerCertificate 引数が true に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.3.7 | --bind-address 引数が 127.0.0.1 に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
1.4 スケジューラー
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 1.4.1 | --profiling 引数が false に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 1.4.2 | --bind-address 引数が 127.0.0.1 に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
2 Etcd ノードの構成
| 推奨事項。 | 得点した？ | レベル | 結果 | 責任 | |
|---|---|---|---|---|---|
| 2.1 | --cert-file 引数と --key-file 引数が適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 2.2 | --client-cert-auth 引数が true に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 2.3 | --auto-tls 引数が true に設定されていないことを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 2.4 | --peer-cert-file 引数と --peer-key-file 引数が適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 2.5 | --peer-client-cert-auth 引数が true に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 2.6 | --peer-auto-tls 引数が true に設定されていないことを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 2.7 | etcd に対して固有の認証局が使用されていることを確認します。 | スコア対象外 | 2 | 合格 | IBM |
3 コントロール・プレーンの構成
3.2 ロギング
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 3.2.1 | 最小限の監査ポリシーが作成されていることを確認します。 | スコア対象外 | 1 | 不合格 | 共有 |
| 3.2.2 | 監査ポリシーが主要なセキュリティー上の問題をカバーしていることを確認します。 | スコア対象外 | 2 | 不合格 | 共有 |
4つのワーカーノード（ RHEL_9_64 ）
4.1 ワーカー・ノードの構成ファイル
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 4.1.1 | kubelet サービスのファイル権限が「 600 」またはそれ以上に制限された設定になっていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 4.1.2 | kubelet サービス・ファイルの所有権が root:root に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 4.1.3 | kubeconfig というプロキシファイルが存在する場合は、権限が「 600 」またはそれより制限の厳しい設定になっていることを確認してください。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.1.4 | kubeconfig というプロキシファイルが存在する場合は、その所有権が root:root に設定されていることを確認してください。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.1.5 | --kubeconfig`` kubelet.conf ファイルのアクセス権が、 600 、またはそれよりも制限の厳しい設定になっていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 4.1.6 | --kubeconfig`` kubelet.conf ファイルの所有者が root:root に設定されていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 4.1.7 | 認証局ファイルのアクセス権が 644 またはこれより制限が厳しい値に設定されていることを確認します。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.1.8 | クライアント認証局ファイルの所有権が root:root に設定されていることを確認します。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.1.9 | kubeletの config.yaml 設定ファイルを使用している場合は、権限が 600 に設定されているか、あるいはそれよりも制限が厳しい設定になっているかを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 4.1.10 | kubeletの config.yaml 設定ファイルを使用している場合は、ファイルの所有権が root:root に設定されていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
4.2 Kubelet
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 4.2.1 | --anonymous-auth 引数が false に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 4.2.2 | --authorization-mode 引数が AlwaysAllow に設定されていないことを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 4.2.3 | --client-ca-file 引数が適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 4.2.4 | readOnlyPort が定義されている場合は、その値が 0`` に設定されていることを確認してください。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.2.5 | --streaming-connection-idle-timeout 引数が 0 に設定されていないことを確認します。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.2.6 | --make-iptables-util-chains 引数が true に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 4.2.7 | --hostname-override 引数が設定されていないことを確認します。 |
スコア対象外 | 1 | 不合格 | IBM |
| 4.2.8 | eventRecordQPS 引数が、適切なイベントの捕捉が確実に行われるレベルに設定されていることを確認してください。 |
スコア対象外 | 2 | 合格 | IBM |
| 4.2.9 | --tls-cert-file 引数と --tls-private-key-file 引数が適切な値に設定されていることを確認します。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.2.10 | --rotate-certificates 引数が false に設定されていないことを確認します。 |
スコア対象 | 1 | 不合格 | IBM |
| 4.2.11 | RotateKubeletServerCertificate 引数が true に設定されていることを確認してください。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.2.12 | Kubelet で強力な暗号方式のみが使用されていることを確認します。 | スコア対象外 | 1 | 合格 | IBM |
| 4.2.13 | PIDs ポッドに制限が設定されていることを確認してください。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.2.14 | --seccomp-default パラメータが true に設定されていることを確認してください。 |
スコア対象外 | 1 | 合格 | IBM |
4.3 Kube-proxy
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 4.3.1 | kube-proxy のメトリクスサービスが localhost にバインドされていることを確認してください。 | スコア対象 | 1 | 合格 | IBM |
4 ワーカーノードのセキュリティ設定（RHCOS）
4.1 ワーカー・ノードの構成ファイル
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 4.1.1 | kubelet サービスのファイル権限が「 600 」またはそれ以上に制限された設定になっていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 4.1.2 | kubelet サービス・ファイルの所有権が root:root に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 4.1.3 | kubeconfig というプロキシファイルが存在する場合は、権限が「 600 」またはそれより制限の厳しい設定になっていることを確認してください。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.1.4 | kubeconfig というプロキシファイルが存在する場合は、その所有権が root:root に設定されていることを確認してください。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.1.5 | --kubeconfig`` kubelet.conf ファイルのアクセス権が、 600 、またはそれよりも制限の厳しい設定になっていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 4.1.6 | --kubeconfig`` kubelet.conf ファイルの所有者が root:root に設定されていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 4.1.7 | 認証局ファイルのアクセス権が 644 またはこれより制限が厳しい値に設定されていることを確認します。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.1.8 | クライアント認証局ファイルの所有権が root:root に設定されていることを確認します。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.1.9 | kubeletの config.yaml 設定ファイルを使用している場合は、権限が 600 に設定されているか、あるいはそれよりも制限が厳しい設定になっているかを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
| 4.1.10 | kubeletの config.yaml 設定ファイルを使用している場合は、ファイルの所有権が root:root に設定されていることを確認してください。 |
スコア対象 | 1 | 合格 | IBM |
4.2 Kubelet
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 4.2.1 | --anonymous-auth 引数が false に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 4.2.2 | --authorization-mode 引数が AlwaysAllow に設定されていないことを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 4.2.3 | --client-ca-file 引数が適切な値に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 4.2.4 | readOnlyPort が定義されている場合は、その値が 0`` に設定されていることを確認してください。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.2.5 | --streaming-connection-idle-timeout 引数が 0 に設定されていないことを確認します。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.2.6 | --make-iptables-util-chains 引数が true に設定されていることを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 4.2.7 | --hostname-override 引数が設定されていないことを確認します。 |
スコア対象外 | 1 | 不合格 | IBM |
| 4.2.8 | eventRecordQPS 引数が、適切なイベントの捕捉が確実に行われるレベルに設定されていることを確認してください。 |
スコア対象外 | 2 | 合格 | IBM |
| 4.2.9 | --tls-cert-file 引数と --tls-private-key-file 引数が適切な値に設定されていることを確認します。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.2.10 | --rotate-certificates 引数が false に設定されていないことを確認します。 |
スコア対象 | 1 | 合格 | IBM |
| 4.2.11 | RotateKubeletServerCertificate 引数が true に設定されていることを確認してください。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.2.12 | Kubelet で強力な暗号方式のみが使用されていることを確認します。 | スコア対象外 | 1 | 合格 | IBM |
| 4.2.13 | PIDs ポッドに制限が設定されていることを確認してください。 |
スコア対象外 | 1 | 合格 | IBM |
| 4.2.14 | --seccomp-default パラメータが true に設定されていることを確認してください。 |
スコア対象外 | 1 | 合格 | IBM |
4.3 Kube-proxy
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 4.3.1 | kube-proxy のメトリクスサービスが localhost にバインドされていることを確認してください。 | スコア対象 | 1 | 合格 | IBM |
5 方針
5.1 RBAC およびサービス・アカウント
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 5.1.1 | cluster-admin ロールは、必要な場合のみ使用するようにしてください。 | スコア対象外 | 1 | 合格 | 共有 |
| 5.1.2 | シークレットへのアクセスを最小限に抑えます。 | スコア対象外 | 1 | 不合格 | 共有 |
| 5.1.3 | Roles および ClusterRoles でワイルドカードの使用を最小限に抑えます。 |
スコア対象外 | 1 | 不合格 | 共有 |
| 5.1.4 | ポッドを作成するためのアクセスを最小限に抑えます。 | スコア対象外 | 1 | 合格 | 共有 |
| 5.1.5 | デフォルトのサービス・アカウントが積極的に使用されないようにします。 | スコア対象外 | 1 | 不合格 | 共有 |
| 5.1.6 | サービス・アカウント・トークンが必要な場所のみにマウントされていることを確認します。 | スコア対象外 | 1 | 不合格 | 共有 |
| 5.1.7 | 「system:masters」グループの使用は避けてください。 | スコア対象外 | 1 | 合格 | 共有 |
| 5.1.8 | Kubernetes クラスターにおける「Bind」、「Impersonate」、「Escalate」の権限の使用を制限してください。 | スコア対象外 | 1 | 合格 | 共有 |
| 5.1.9 | 永続ボリュームの作成に関するアクセス権を最小限に抑える。 | スコア対象外 | 1 | 合格 | 共有 |
| 5.1.10 | ノードのプロキシ・サブリソースへのアクセスを最小限に抑える。 | スコア対象外 | 1 | 合格 | 共有 |
| 5.1.11 | certificatesigningrequests オブジェクトの「承認」サブリソースへのアクセスを最小限に抑える。 | スコア対象外 | 1 | 合格 | 共有 |
| 5.1.12 | Webhookの設定オブジェクトへのアクセスを最小限に抑えてください。 | スコア対象外 | 1 | 合格 | 共有 |
| 5.1.13 | サービスアカウントのトークン作成へのアクセスを最小限に抑える。 | スコア対象外 | 1 | 合格 | 共有 |
5.2 Podのセキュリティ基準
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 5.2.1 | クラスタに、少なくとも 1 つのアクティブなポリシー制御メカニズムが導入されていることを確認してください。 | スコア対象外 | 1 | 合格 | 共有 |
| 5.2.2 | 特権コンテナーのアドミッションを最小限に抑えます。 | スコア対象外 | 1 | 成功 | 共有 |
| 5.2.3 | ホスト・プロセス ID の名前空間を共有することを希望しているコンテナーのアドミッションを最小限に抑えます。 | スコア対象外 | 1 | 成功 | 共有 |
| 5.2.4 | ホスト IPC の名前空間を共有することを希望しているコンテナーのアドミッションを最小限に抑えます。 | スコア対象外 | 1 | 成功 | 共有 |
| 5.2.5 | ホスト・ネットワークの名前空間を共有することを希望しているコンテナーのアドミッションを最小限に抑えます。 | スコア対象外 | 1 | 成功 | 共有 |
| 5.2.6 | allowPrivilegeEscalation が設定されたコンテナーのアドミッションを最小限に抑えます。 |
スコア対象外 | 1 | 成功 | 共有 |
| 5.2.7 | ルート・コンテナーのアドミッションを最小限に抑えます。 | スコア対象外 | 2 | 成功 | 共有 |
| 5.2.8 | NET_RAW 機能を備えたコンテナの受け入れを最小限に抑える。 | スコア対象外 | 1 | 成功 | 共有 |
| 5.2.9 | 機能が割り当てられたコンテナーのアドミッションを最小限に抑えます。 | スコア対象外 | 2 | 成功 | 共有 |
| 5.2.10 | Windows HostProcess コンテナの受け入れを最小限に抑える。 |
スコア対象外 | 1 | 合格 | 共有 |
| 5.2.11 | HostPath ボリュームの取り込みを最小限に抑える。 |
スコア対象外 | 1 | 合格 | 共有 |
| 5.2.12 | HostPorts を使用するコンテナの受け入れを最小限に抑える。 |
スコア対象外 | 1 | 合格 | 共有 |
5.3 ネットワーク・ポリシーおよび CNI
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 5.3.1 | 使用中の CNI がネットワーク・ポリシーをサポートしていることを確認します。 | スコア対象外 | 1 | 合格 | IBM |
| 5.3.2 | すべての名前空間にネットワーク・ポリシーが設定されていることを確認します。 | スコア対象外 | 2 | 合格 | 共有 |
5.4 シークレット管理
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 5.4.1 | シークレットを環境変数として使用する代わりに、シークレットをファイルとして使用します。 | スコア対象外 | 2 | 不合格 | 共有 |
| 5.4.2 | 外部シークレット・ストレージを検討します。 | スコア対象外 | 2 | 不合格 | 共有 |
5.5 拡張可能アドミッション制御
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 5.5.1 | ImagePolicyWebhook アドミッション・コントローラーを使用して Image Provenance を構成します。 |
スコア対象外 | 2 | 不合格 | 共有 |
5.6 一般ポリシー
| セクション | 推奨事項。 | 得点した？ | レベル | 結果 | 責任 |
|---|---|---|---|---|---|
| 5.6.1 | 名前空間を使用してリソース間の管理境界を作成します。 | スコア対象外 | 1 | 合格 | 共有 |
| 5.6.2 | ポッド定義において、 seccomp プロファイルがdocker/defaultに設定されていることを確認してください。 |
スコア対象外 | 2 | 不合格 | 共有 |
| 5.6.3 | ポッドとコンテナーにセキュリティー・コンテキストを適用します。 | スコア対象外 | 2 | 不合格 | 共有 |
| 5.6.4 | デフォルトの名前空間は使用しないでください。 | スコア対象外 | 2 | 合格 | 共有 |
IBM 修正処置と説明
| セクション | Remediation and explanation. |
|---|---|
| 1.2.1 | Red Hat OpenShift on IBM Cloud では、クラスター保護のために RBAC (役割ベースのアクセス制御) を使用しますが、匿名検出が許可されています。これは CIS Kubernetes ベンチマークによって適切と見なされます。 |
| 1.2.3 | OpenShift IPs への外部アクセスを制限するため、 その他のリスク軽減措置を講じています。 |
| 1.2.9 | Red Hat OpenShift on IBM Cloud では EventRateLimit アドミッション・コントローラーは使用可能になっていません。このアドミッション・コントローラーは Kubernetes のアルファ版の機能であるからです。 |
| 1.2.11 | Red Hat OpenShift on IBM Cloud この設定では、 AlwaysPullImages コンテナの _imagePullPolicy_ を上書きし、パフォーマンスに影響を与える可能性があるため、アドミッションコントローラーは有効になりません。 |
| 1.2.17 | Red Hat OpenShift on IBM Cloud は必要に応じて Kubernetes API サーバーの監査を可能にします。 |
| 1.2.27 | Red Hat OpenShift on IBM Cloud は必要に応じて Kubernetes 鍵管理サービス (KMS) プロバイダーを使用可能にします。 |
| 1.2.28 | Red Hat OpenShift on IBM Cloud は必要に応じて Kubernetes 鍵管理サービス (KMS) プロバイダーを使用可能にします。 |
| 1.2.30 | OpenShift --service-account-extend-token-expiration の無効化は サポートされていません。 |
| 3.2.1 | Red Hat OpenShift on IBM Cloud は必要に応じて Kubernetes API サーバーの監査を可能にします。 |
| 3.2.2 | Red Hat OpenShift on IBM Cloud は必要に応じて Kubernetes API サーバーの監査を可能にします。 |
| 4.2.7 | Red Hat OpenShift on IBM Cloud はホスト名をインフラストラクチャーによって発行された名前と一致させます。 |
| 4.2.10 | Red Hat OpenShift on IBM Cloud 各ワーカーノードのリロードまたは更新のたびに、証明書をローテーションします。 |
| 5.1.2 | Red Hat OpenShift on IBM Cloud は、Kubernetes シークレットへのアクセスがさらに制限されている可能性のあるいくつかのシステム・コンポーネントをデプロイします。 |
| 5.1.3 | Red Hat OpenShift on IBM Cloud は、Kubernetes シークレットへのアクセスがさらに制限されている可能性のあるいくつかのシステム・コンポーネントをデプロイします。 |
| 5.1.5 | Red Hat OpenShift on IBM Cloud では、デフォルトのサービス・アカウントごとに automountServiceAccountToken: false は設定されません。 |
| 5.1.6 | Red Hat OpenShift on IBM Cloud は、automountServiceAccountToken: false を設定している可能性のあるいくつかのシステム・コンポーネントをデプロイします。 |
| 5.2.2 | Red Hat OpenShift on IBM Cloud 必要に応じて、 OpenShift のセキュリティコンテキスト制約 や、 Kubernetes のポッドセキュリティ承認を設定できます。これらは、非推奨となった Kubernetes のポッドセキュリティポリシー と類似しています。 |
| 5.2.3 | Red Hat OpenShift on IBM Cloud 必要に応じて、 OpenShift のセキュリティコンテキスト制約 や、 Kubernetes のポッドセキュリティ承認を設定できます。これらは、非推奨となった Kubernetes のポッドセキュリティポリシー と類似しています。 |
| 5.2.4 | Red Hat OpenShift on IBM Cloud 必要に応じて、 OpenShift のセキュリティコンテキスト制約 や、 Kubernetes のポッドセキュリティ承認を設定できます。これらは、非推奨となった Kubernetes のポッドセキュリティポリシー と類似しています。 |
| 5.2.5 | Red Hat OpenShift on IBM Cloud 必要に応じて、 OpenShift のセキュリティコンテキスト制約 や、 Kubernetes のポッドセキュリティ承認を設定できます。これらは、非推奨となった Kubernetes のポッドセキュリティポリシー と類似しています。 |
| 5.2.6 | Red Hat OpenShift on IBM Cloud 必要に応じて、 OpenShift のセキュリティコンテキスト制約 や、 Kubernetes のポッドセキュリティ承認を設定できます。これらは、非推奨となった Kubernetes のポッドセキュリティポリシー と類似しています。 |
| 5.2.7 | Red Hat OpenShift on IBM Cloud 必要に応じて、 OpenShift のセキュリティコンテキスト制約 や、 Kubernetes のポッドセキュリティ承認を設定できます。これらは、非推奨となった Kubernetes のポッドセキュリティポリシー と類似しています。 |
| 5.2.8 | Red Hat OpenShift on IBM Cloud 必要に応じて、 OpenShift のセキュリティコンテキスト制約 や、 Kubernetes のポッドセキュリティ承認を設定できます。これらは、非推奨となった Kubernetes のポッドセキュリティポリシー と類似しています。 |
| 5.2.9 | Red Hat OpenShift on IBM Cloud 必要に応じて、 OpenShift のセキュリティコンテキスト制約 や、 Kubernetes のポッドセキュリティ承認を設定できます。これらは、非推奨となった Kubernetes のポッドセキュリティポリシー と類似しています。 |
| 5.4.1 | Red Hat OpenShift on IBM Cloud は、シークレットを環境変数としてではなくファイルとして使用するシステム・コンポーネントをいくつかデプロイします。 |
| 5.4.2 | Red Hat OpenShift on IBM Cloud 必要に応じて、 Secrets Manager サービスを有効に することができます。 |
| 5.5.1 | Red Hat OpenShift on IBM Cloud は必要に応じてイメージ・セキュリティー適用を可能にします。 |
| 5.6.2 | Red Hat OpenShift on IBM Cloud すべてのポッドに seccomp プロファイルの注釈を付与するわけではありません。 |
| 5.6.3 | Red Hat OpenShift on IBM Cloud は、ポッドやコンテナー securityContext を設定しないいくつかのシステム・コンポーネントをデプロイします。 |