4.17 合規操作員基準

請檢視 Red Hat OpenShift on IBM Cloud 版本 4.17 的合規性運算子基準測試結果。

此版本已不再支援。請儘快將您的叢集更新至受支援的版本。

1 控制平面組件

1.1主節點設定檔

主節點組態不是以檔案集的形式儲存；因此 1.1 小節中的規則不在合規操作員自動檢查的範圍內。

1.2 API伺服器

API 伺服器的效能基準測試。
部分	建議	手動/自動	等級	結果
1.2.1	Ensure 確保匿名請求已獲得授權。	Manual	1	Pass
1.2.2	Ensure 顯示 `--basic-auth-file` 參數未設定。	Automated	1	Pass
1.2.3	Ensure 顯示 `--token-auth-file` 參數未設定。	Automated	1	Pass
1.2.4	Use kubelet 連線需使用 HTTPS。	Automated	1	Pass
1.2.5	Ensure 確認 kubelet 使用憑證進行驗證。	Automated	1	Not 已確認
請參閱 1.2.6	Verify，確認 kubelet 的憑證授權單位已設定正確。	Automated	1	Pass
1.2.7	Ensure 顯示 `--authorization-mode` 參數未設定為 `AlwaysAllow`。	Automated	1	Pass
1.2.8	Verify 確認已啟用 Node 授權器。	Automated	1	Pass
1.2.9	Verify 確認已啟用 RBAC。	Automated	1	Pass
1.2.10	Ensure 確認 `APIPriorityAndFairness` 功能開關已啟用。	Manual	1	Pass
1.2.11	Ensure 顯示，存取控制外掛程式 `AlwaysAdmit` 尚未設定。	Automated	1	Pass
1.2.12	Ensure 顯示存取控制外掛程式 `AlwaysPullImages` 未設定。	Manual	1	Pass
1.2.13	Ensure 顯示存取控制外掛程式 `SecurityContextDeny` 未設定。	Manual	1	Pass
1.2.14	Ensure 確保已設定存取控制外掛程式 `ServiceAccount`。	Automated	1	Pass
1.2.15	Ensure 需確保已設定存取控制外掛程式 `NamespaceLifecycle`。	Automated	1	Pass
1.2.16	Ensure 確保已設定存取控制外掛程式 `SecurityContextConstraint`。	Automated	1	Pass
1.2.17	Ensure 確保已設定存取控制外掛程式 `NodeRestriction`。	Automated	1	Pass
1.2.18	Ensure 顯示 `--insecure-bind-address` 參數未設定。	Automated	1	Pass
1.2.19	Ensure 顯示 `--insecure-port` 參數設定為 0。	Automated	1	Not 已確認
1.2.20	Ensure 表示 --secure-port 參數未設定為 0。	Automated	1	Pass
1.2.21	Ensure 顯示 `healthz` 端點受 RBAC 保護。	Automated	1	Pass
1.2.22	Ensure 表示已設定 `--audit-log-path` 參數。	Automated	1	Pass
1.2.23	Ensure 審計日誌會被轉發至叢集外部以供保留。[	自動化	1	未核對](#ibm-remediations-and-explanations-417-co)
1.2.24	Ensure 確保 maximumRetainedFiles 參數設定為 10 或適當的值。 [	自動	1	未檢查](#ibm-remediations-and-explanations-417-co)
1.2.25	Ensure 確保 maximumFileSizeMegabytes 參數設定為 100 或適當的值。 [	自動化	1	未檢查](#ibm-remediations-and-explanations-417-co)
1.2.26	Ensure，請確認已適當設定 `--request-timeout` 參數。	Automated	1	Pass
1.2.27	Ensure 確保 --service-account-lookup 參數設定為 `true`。	Automated	1	Pass
請參閱 1.2.28	Ensure ，確認已適當設定 --service-account-key-file 參數。	Automated	1	Pass
請參閱 1.2.29	Ensure，確認已適當設定 `--etcd-certfile` 和 `--etcd-keyfile` 參數。	Automated	1	Pass
請參閱 1.2.30	Ensure，確認已適當設定 `--tls-cert-file` 及 `--tls-private-key-file` 參數。	Automated	1	Pass
請參閱 1.2.31	Ensure ，確認已適當設定 --client-ca-file 參數。	Automated	1	Pass
請參閱 1.2.32	Ensure，確認已適當設定 `--etcd-cafile` 參數。	Automated	1	Pass
1.2.33	Ensure 請確保已適當設定 `--encryption-provider-config` 參數。[	手動	1	未檢查](#ibm-remediations-and-explanations-417-co)
1.2.34	Ensure 確認加密服務提供者已正確設定。[	手動	1	未檢查](#ibm-remediations-and-explanations-417-co)
1.2.35	Ensure 說明 API 伺服器僅使用強加密演算法。	Manual	1	Pass

1.3控制器管理器

控制器管理員的基準測試。
部分	建議	手動/自動	等級	結果
1.3.1	Ensure 確認垃圾回收已正確設定。	Manual	1	Not 已檢查
1.3.2	Ensure 該控制器管理員 `healthz` 端點受 RBAC 保護。	Automated	1	Pass
1.3.3	Ensure 確保 --use-service-account-credentials 參數設定為 `true`。	Automated	1	Pass
請參閱 1.3.4	Ensure ，確認已適當設定 --service-account-private-key-file 參數。	Automated	1	Pass
請參閱 1.3.5	Ensure ，確認已適當設定 --root-ca-file 參數。	Automated	1	Pass
1.3.6	Ensure ，確認 RotateKubeletServerCertificate 參數已設定為 `true`。	Automated	2	Pass
1.3.7	Ensure 顯示 `--bind-address` 參數已設定為 `127.0.0.1`。	Automated	1	Pass

1.4調度器

排程器的基準測試。
部分	建議	手動/自動	等級	結果
1.4.1	Ensure 指出，排程器的 `healthz` 端點受 RBAC 保護。	Automated	1	Pass
1.4.2	Verify 說明排程器 API 服務受身份驗證與授權保護。	Automated	1	Pass

2 Etcd

etcd 的效能測試。
部分	建議	手動/自動	等級	結果
請確保 2.1	Ensure 中的 `--cert-file` 和 `--key-file` 參數已設定妥當。	Automated	1	Pass
2.2	Ensure 確保 --client-cert-auth 參數設定為 `true`。	Automated	1	Pass
2.3	Ensure 顯示 `--auto-tls` 參數未設定為 true。	Automated	1	Pass
請參閱 2.4	Ensure，確認已適當設定 `--peer-cert-file` 及 `--peer-key-file` 參數。	Automated	1	Pass
2.5	Ensure 確保 --peer-client-cert-auth 參數設定為 `true`。	Automated	1	Pass
2.6	Ensure 顯示 --peer-auto-tls 參數未設定為 `true`。	Automated	1	Pass
2.7	Ensure 顯示 etcd 使用了唯一的憑證授權機構。[	手動	2	未檢查](#ibm-remediations-and-explanations-417-co)

3 控制平面配置

3.1 身分驗證與授權

驗證與授權的基準。
部分	建議	手動/自動	等級	結果
不應對使用者使用 3.1.1	Client 憑證驗證。	Manual	2	Pass

3.2日誌記錄

記錄的基準。
部分	建議	手動/自動	等級	結果
3.2.1	Ensure 確保建立一套最基本的稽核政策。	Automated	1	Pass
3.2.2	Ensure 確保稽核政策涵蓋關鍵的安全考量。	Manual	2	Pass

4個工作節點

請依照使用合規性運算子對工作節點配置執行自動檢查中的說明進行操作。

5 政策

5.1 RBAC 和服務帳戶

RBAC 與服務帳戶的基準測試。
部分	建議	手動/自動	等級	結果
5.1.1	Ensure 指出，cluster-admin 角色僅在必要時使用。	Manual	1	Pass
5.1.2	Minimize 存取機密資訊。	Manual	1	Not 已核對
5.1.3	Minimize 在 `Roles` 和 `ClusterRoles` 中使用通配符。	Manual	1	Not 已確認
需具備 5.1.4	Minimize 存取權限才能建立 Pod。	Manual	1	Not 已勾選
5.1.5	Ensure 顯示預設服務帳戶並未被積極使用。	Automated	1	Not 已勾選
5.1.6	Ensure 確保服務帳戶憑證僅在必要時掛載。	Manual	1	Not 已勾選

5.2 Pod 安全性政策

Pod 安全政策的基準。
部分	建議	手動/自動	等級	結果
5.2.1	Minimize 特權容器的接納。	Manual	1	Not 已驗證
5.2.2	Minimize 允許容器共用主進程的 ID 名稱空間。	Automated	1	Not 已勾選
5.2.3	Minimize 允許希望共用主機 IPC 命名空間的容器加入。	Automated	1	Not 已檢查
5.2.4	Minimize 允許希望共用主機網路命名空間的容器加入。	Automated	1	Not 已檢查
5.2.5	Minimize 已啟用 `allowPrivilegeEscalation` 容器接收功能。	Automated	1	Not 已核對
5.2.6	Minimize 允許使用根容器。	Manual	2	Not 已核對
5.2.7	Minimize 允許具備 NET_RAW 功能的容器進入。	Manual	1	Not 已勾選
5.2.8	Minimize 允許具備附加功能的容器進入。[	手動	1	未檢查](#ibm-remediations-and-explanations-417-co)
5.2.9	Minimize 允許載入已指派能力的容器。	Manual	2	Not 已勾選

5.3網路策略和CNI

網路政策與 CNI 的基準測試。
部分	建議	手動/自動	等級	結果
5.3.1	Ensure 確認所使用的 CNI 支援「網路原則」。	Manual	1	Pass
5.3.2	Ensure 確保所有命名空間均已定義網路原則。[	自動化	2	未檢查](#ibm-remediations-and-explanations-417-co)

5.4秘密管理

秘密管理的基準。
部分	建議	手動/自動	等級	結果
5.4.1	Prefer 建議使用檔案形式的密鑰，而非環境變數形式的密鑰。	Manual	1	Not 已確認
5.4.2	Consider 外部機密儲存。	Manual	2	Not 已核對

5.5可擴展的准入控制

可擴充准入控制的基準。
部分	建議	手動/自動	等級	結果
5.5.1	Configure 透過影像控制器配置參數驗證影像來源。	Manual	2	Not 已勾選

5.7一般政策

一般政策的基準。
部分	建議	手動/自動	等級	結果
5.7.1	Create 透過命名空間在資源之間劃分管理邊界。	Manual	1	Not 已確認
5.7.2	Ensure 請確認您的 Pod 定義中，`seccomp` 設定已設為 docker/default。	Manual	2	Not 已確認
已為您的 Pod 和容器設定 5.7.3	Apply 安全上下文。	Manual	2	Not 已驗證
不應使用 5.7.4	The 預設命名空間。	Automated	2	Not 已勾選

IBM 補救和解釋

檢閱 IBM 有關 CIS Benchmark 結果的資訊。

IBM 補救和說明的詳細資訊。
區段	建議/解釋
1.2.23	Red Hat OpenShift IBM Cloud 上可以選擇啟用 API 伺服器稽核。Kubernetes
1.2.24	Red Hat OpenShift IBM Cloud 上設定參數為 1。`maximumRetainedFiles`
1.2.25	Red Hat OpenShift IBM Cloud 上設定參數為 10。`maximumFileSizeMegabytes`
1.2.33	Red Hat OpenShift IBM Cloud 上可以選擇啟用金鑰管理服務 (KMS) 提供商。Kubernetes
1.2.34	Red Hat OpenShift IBM Cloud 上可以選擇啟用金鑰管理服務 (KMS) 提供商。Kubernetes
2.7	Red Hat OpenShift IBM Cloud 上為配置唯一的憑證授權。etcd
5.2.8	Red Hat OpenShift IBM Cloud 上安裝自訂的。`SCCs`
5.3.2	Red Hat OpenShift IBM Cloud 上定義了一套預設的網路政策，並可選擇新增其他網路政策。Calico