4.17 合規操作員基準

查看Red Hat OpenShift on IBM Cloud版本4.17的合規性操作員基準測試結果。

1 控制平面組件

1.1主節點設定檔

主節點組態不是以檔案集的形式儲存；因此 1.1 小節中的規則不在合規操作員自動檢查的範圍內。

1.2 API伺服器

api 伺服器的基準。
部分	建議	手動/自動	等級	結果
1.2.1	Ensure 已授權匿名請求。	Manual	1	Pass
1.2.2	Ensure 未設定 `--basic-auth-file` 參數。	Automated	1	Pass
1.2.3	Ensure 未設定 `--token-auth-file` 參數。	Automated	1	Pass
1.2.4	Use https 用於 kubelet 連線。	Automated	1	Pass
1.2.5	Ensure，kubelet 使用憑證進行驗證。	Automated	1	Not 已檢查
1.2.6	Verify 已適當設定 kubelet 證書授權。	Automated	1	Pass
1.2.7	Ensure，且 `--authorization-mode` 參數未設定為 `AlwaysAllow`。	Automated	1	Pass
1.2.8	Verify Node authorizer 已啟用。	Automated	1	Pass
1.2.9	Verify 已啟用 RBAC。	Automated	1	Pass
1.2.10	Ensure 已啟用 `APIPriorityAndFairness` 功能閘道。	Manual	1	Pass
1.2.11	Ensure 未設定存取控制外掛程式 `AlwaysAdmit`。	Automated	1	Pass
1.2.12	Ensure 未設定存取控制外掛程式 `AlwaysPullImages`。	Manual	1	Pass
1.2.13	Ensure 未設定存取控制外掛程式 `SecurityContextDeny`。	Manual	1	Pass
1.2.14	Ensure 已設定存取控制外掛程式 `ServiceAccount`。	Automated	1	Pass
1.2.15	Ensure 已設定存取控制外掛程式 `NamespaceLifecycle`。	Automated	1	Pass
1.2.16	Ensure 已設定存取控制外掛程式 `SecurityContextConstraint`。	Automated	1	Pass
1.2.17	Ensure 已設定存取控制外掛程式 `NodeRestriction`。	Automated	1	Pass
1.2.18	Ensure 未設定 `--insecure-bind-address` 參數。	Automated	1	Pass
1.2.19	Ensure，`--insecure-port` 參數設定為 0。	Automated	1	Not 已檢查
1.2.20	Ensure `--secure-port` 參數未設定為 0。	Automated	1	Pass
1.2.21	Ensure `healthz` 端點受 RBAC 保護。	Automated	1	Pass
1.2.22	Ensure 已設定 `--audit-log-path` 參數。	Automated	1	Pass
1.2.23	Ensure 將稽核記錄轉送至群集外保留。	自動	1	未勾選
1.2.24	Ensure，`maximumRetainedFiles` 參數設定為 `10` 或視情況而定。	自動	1	未檢查
1.2.25	Ensure，`maximumFileSizeMegabytes` 參數設定為 `100` 或視情況而定。	自動	1	未檢查
1.2.26	Ensure 已適當設定 `--request-timeout` 參數。	Automated	1	Pass
1.2.27	Ensure `--service-account-lookup` 參數設定為 true。	Automated	1	Pass
1.2.28	Ensure 已適當設定 `--service-account-key-file` 參數。	Automated	1	Pass
1.2.29	Ensure，`--etcd-certfile` 和 `--etcd-keyfile` 參數已適當設定。	Automated	1	Pass
1.2.30	Ensure，`--tls-cert-file` 和 `--tls-private-key-file` 參數已適當設定。	Automated	1	Pass
1.2.31	Ensure 已適當設定 `--client-ca-file` 參數。	Automated	1	Pass
1.2.32	Ensure 已適當設定 `--etcd-cafile` 參數。	Automated	1	Pass
1.2.33	Ensure，`--encryption-provider-config` 參數已適當設定。	手動	1	未檢查
1.2.34	Ensure 已適當設定加密提供者。	手动	1	未选中
1.2.35	Ensure API 伺服器僅使用強加密密碼。	Manual	1	Pass

1.3控制器管理器

控制器管理員的基準。
部分	建議	手動/自動	等級	結果
1.3.1	Ensure 垃圾回收已設定為適當。	Manual	1	Not 已檢查
1.3.2	Ensure 控制器管理員 `healthz` 端點受 RBAC 保護。	Automated	1	Pass
1.3.3	Ensure `--use-service-account-credentials` 參數設定為 true。	Automated	1	Pass
1.3.4	Ensure 已適當設定 `--service-account-private-key-file` 參數。	Automated	1	Pass
1.3.5	Ensure 已適當設定 `--root-ca-file` 參數。	Automated	1	Pass
1.3.6	Ensure `RotateKubeletServerCertificate` 參數設定為 true。	Automated	2	Pass
1.3.7	Ensure，將 `--bind-address` 參數設為 `127.0.0.1`。	Automated	1	Pass

1.4調度器

排程的基準。
部分	建議	手動/自動	等級	結果
1.4.1	Ensure 调度器的 `healthz` 端点受 RBAC 保护。	Automated	1	Pass
1.4.2	Verify 调度器 API 服务受身份验证和授权保护。	Automated	1	Pass

2 Etcd

etcd 的基準。
部分	建議	手動/自動	等級	結果
2.1	Ensure，`--cert-file` 和 `--key-file` 參數已適當設定。	Automated	1	Pass
2.2	Ensure `--client-cert-auth` 參數設定為 true。	Automated	1	Pass
2.3	Ensure `--auto-tls` 參數未設定為 true。	Automated	1	Pass
2.4	Ensure，`--peer-cert-file` 和 `--peer-key-file` 參數已適當設定。	Automated	1	Pass
2.5	Ensure `--peer-client-cert-auth` 參數設定為 true。	Automated	1	Pass
2.6	Ensure `--peer-auto-tls` 參數未設定為 true。	Automated	1	Pass
2.7	Ensure etcd 使用唯一的憑證授權。	手冊	2	未檢查

3 控制平面配置

3.1 驗證與授權

驗證與授權的基準。
部分	建議	手動/自動	等級	結果
3.1.1	Client 不應該對使用者使用憑證驗證。	Manual	2	Pass

3.2日誌記錄

記錄的基準。
部分	建議	手動/自動	等級	結果
3.2.1	Ensure 已建立最小的稽核政策。	Automated	1	Pass
3.2.2	Ensure 稽核政策涵蓋主要的安全問題。	Manual	2	Pass

4個工作節點

請依照使用合規性運算子對工作節點配置執行自動檢查中的說明進行操作。

5 政策

5.1 RBAC 和服務帳戶

rbac 和服務帳戶的基準。
部分	建議	手動/自動	等級	結果
5.1.1	Ensure 僅在需要時使用群集管理員角色。	Manual	1	Pass
5.1.2	Minimize 存取機密。	Manual	1	Not 已檢查
5.1.3	Minimize 通配符在 `Roles` 和 `ClusterRoles` 中使用。	Manual	1	Not 已檢查
5.1.4	Minimize 建立 Pod 的權限。	Manual	1	Not 已勾選
5.1.5	Ensure 預設服務帳號未被主動使用。	Automated	1	Not 已檢查
5.1.6	Ensure，只有在必要時才掛載服務帳戶代號。	Manual	1	Not 已檢查

5.2 Pod 安全政策

pod 安全政策的基準。
部分	建議	手動/自動	等級	結果
5.2.1	Minimize 允許有權限的容器進入。	Manual	1	Not 已檢查
5.2.2	Minimize 允許希望共享主機進程 ID 命名空間的容器。	Automated	1	Not 已檢查
5.2.3	Minimize 允許希望共享主機 IPC 命名空間的容器。	Automated	1	Not 已檢查
5.2.4	Minimize 允許希望共享主機網路命名空間的容器。	Automated	1	Not 已檢查
5.2.5	Minimize 容器的准入與 `allowPrivilegeEscalation`。	Automated	1	Not 已檢查
5.2.6	Minimize 接納根容器。	Manual	2	Not 已檢查
5.2.7	Minimize 允許具有 NET_RAW 功能的容器進入。	Manual	1	Not 已檢查
5.2.8	Minimize 允許具有新增功能的容器。	手動	1	未檢查
5.2.9	Minimize 允許已指定能力的容器進入。	Manual	2	Not 已檢查

5.3網路策略和CNI

網路政策和 CNI 的基準。
部分	建議	手動/自動	等級	結果
5.3.1	Ensure 使用中的 CNI 支援「網路政策」。	Manual	1	Pass
5.3.2	Ensure 所有命名空間都定義了網路政策。	自動	2	未檢查

5.4秘密管理

秘密管理的基準。
部分	建議	手動/自動	等級	結果
5.4.1	Prefer 使用秘密作為檔案，而非秘密作為環境變數。	Manual	1	Not 已檢查
5.4.2	Consider 外部秘密儲存。	Manual	2	Not 已檢查

5.5可擴展的准入控制

可擴充准入控制的基準。
部分	建議	手動/自動	等級	結果
5.5.1	Configure 影像 Provenance 使用影像控制器設定參數。	Manual	2	Not 已檢查

5.7一般政策

一般政策的基準。
部分	建議	手動/自動	等級	結果
5.7.1	Create 使用命名空間的資源之間的管理界限。	Manual	1	Not 已檢查
5.7.2	Ensure，`seccomp` profile 在您的 pod 定義中設定為 docker/default。	Manual	2	Not 已檢查
5.7.3	Apply Security Context to Your Pods and Containers.	Manual	2	Not checked
5.7.4	The 不應該使用預設命名空間。	Automated	2	Not 已勾選

IBM 補救和解釋

檢閱 IBM 有關 CIS Benchmark 結果的資訊。

IBM 補救和說明的詳細資訊。
區段	建議/解釋
1.2.23	Red Hat OpenShift IBM Cloud 上可以選擇啟用 API 伺服器稽核。Kubernetes
1.2.24	Red Hat OpenShift IBM Cloud 上設定參數為 1。`maximumRetainedFiles`
1.2.25	Red Hat OpenShift IBM Cloud 上設定參數為 10。`maximumFileSizeMegabytes`
1.2.33	Red Hat OpenShift IBM Cloud 上可以選擇啟用金鑰管理服務 (KMS) 提供商。Kubernetes
1.2.34	Red Hat OpenShift IBM Cloud 上可以選擇啟用金鑰管理服務 (KMS) 提供商。Kubernetes
2.7	Red Hat OpenShift IBM Cloud 上為配置唯一的憑證授權。etcd
5.2.8	Red Hat OpenShift IBM Cloud 上安裝自訂的。`SCCs`
5.3.2	Red Hat OpenShift IBM Cloud 上定義了一套預設的網路政策，並可選擇新增其他網路政策。Calico