4.18 合規操作員基準

檢視 Red Hat OpenShift on IBM Cloud 版本的合規操作員基準結果 4.18。

1 控制平面元件

1.1 主節點組態檔案

主節點組態不是以檔案集的形式儲存；因此 1.1 小節中的規則不在合規操作員自動檢查的範圍內。

1.2 API 伺服器

api 伺服器的基準。
科別	建議	手動/自動	等級	結果
1.2.1	Ensure 已授權匿名請求。	Manual	1	Pass
1.2.2	Ensure 未設定 `--basic-auth-file` 參數。	Automated	1	Pass
1.2.3	Ensure 未設定 `--token-auth-file` 參數。	Automated	1	Pass
1.2.4	Use https 用於 kubelet 連線。	Automated	1	Pass
1.2.5	Ensure，kubelet 使用憑證進行驗證。	Automated	1	Not 已檢查
1.2.6	Verify 已適當設定 kubelet 證書授權。	Automated	1	Pass
1.2.7	Ensure，且 `--authorization-mode` 參數未設定為 `AlwaysAllow`。	Automated	1	Pass
1.2.8	Verify Node authorizer 已啟用。	Automated	1	Pass
1.2.9	Verify 已啟用 RBAC。	Automated	1	Pass
1.2.10	Ensure 已啟用 `APIPriorityAndFairness` 功能閘道。	Manual	1	Pass
1.2.11	Ensure 未設定存取控制外掛程式 `AlwaysAdmit`。	Automated	1	Pass
1.2.12	Ensure 未設定存取控制外掛程式 `AlwaysPullImages`。	Manual	1	Pass
1.2.13	Ensure 未設定存取控制外掛程式 `SecurityContextDeny`。	Manual	1	Pass
1.2.14	Ensure 已設定存取控制外掛程式 `ServiceAccount`。	Automated	1	Pass
1.2.15	Ensure 已設定存取控制外掛程式 `NamespaceLifecycle`。	Automated	1	Pass
1.2.16	Ensure 已設定存取控制外掛程式 `SecurityContextConstraint`。	Automated	1	Pass
1.2.17	Ensure 已設定存取控制外掛程式 `NodeRestriction`。	Automated	1	Pass
1.2.18	Ensure 未設定 `--insecure-bind-address` 參數。	Automated	1	Pass
1.2.19	Ensure，`--insecure-port` 參數設定為 0。	Automated	1	Not 已檢查
1.2.20	Ensure `--secure-port` 參數未設定為 0。	Automated	1	Pass
1.2.21	Ensure `healthz` 端點受 RBAC 保護。	Automated	1	Pass
1.2.22	Ensure 已設定 `--audit-log-path` 參數。	Automated	1	Pass
1.2.23	Ensure 將稽核記錄轉送至群集外保留。	自動	1	未勾選
1.2.24	Ensure，`maximumRetainedFiles` 參數設定為 `10` 或視情況而定。	自動	1	未檢查
1.2.25	Ensure，`maximumFileSizeMegabytes` 參數設定為 `100` 或視情況而定。	自動	1	未檢查
1.2.26	Ensure 已適當設定 `--request-timeout` 參數。	Automated	1	Pass
1.2.27	Ensure `--service-account-lookup` 參數設定為 true。	Automated	1	Pass
1.2.28	Ensure 已適當設定 `--service-account-key-file` 參數。	Automated	1	Pass
1.2.29	Ensure，`--etcd-certfile` 和 `--etcd-keyfile` 參數已適當設定。	Automated	1	Pass
1.2.30	Ensure，`--tls-cert-file` 和 `--tls-private-key-file` 參數已適當設定。	Automated	1	Pass
1.2.31	Ensure 已適當設定 `--client-ca-file` 參數。	Automated	1	Pass
1.2.32	Ensure 已適當設定 `--etcd-cafile` 參數。	Automated	1	Pass
1.2.33	Ensure，`--encryption-provider-config` 參數已適當設定。	手動	1	未檢查
1.2.34	Ensure 已適當設定加密提供者。	手动	1	未选中
1.2.35	Ensure API 伺服器僅使用強加密密碼。	Manual	1	Pass

1.3 控制器經理

控制器管理員的基準。
科別	建議	手動/自動	等級	結果
1.3.1	Ensure 垃圾回收已設定為適當。	Manual	1	Not 已檢查
1.3.2	Ensure 控制器管理員 `healthz` 端點受 RBAC 保護。	Automated	1	Pass
1.3.3	Ensure `--use-service-account-credentials` 參數設定為 true。	Automated	1	Pass
1.3.4	Ensure 已適當設定 `--service-account-private-key-file` 參數。	Automated	1	Pass
1.3.5	Ensure 已適當設定 `--root-ca-file` 參數。	Automated	1	Pass
1.3.6	Ensure `RotateKubeletServerCertificate` 參數設定為 true。	Automated	2	Pass
1.3.7	Ensure，將 `--bind-address` 參數設為 `127.0.0.1`。	Automated	1	Pass

1.4 排程

排程的基準。
科別	建議	手動/自動	等級	結果
1.4.1	Ensure 调度器的 `healthz` 端点受 RBAC 保护。	Automated	1	Pass
1.4.2	Verify 调度器 API 服务受身份验证和授权保护。	Automated	1	Pass

2 Etcd

etcd 的基準。
科別	建議	手動/自動	等級	結果
2.1	Ensure，`--cert-file` 和 `--key-file` 參數已適當設定。	Automated	1	Pass
2.2	Ensure `--client-cert-auth` 參數設定為 true。	Automated	1	Pass
2.3	Ensure `--auto-tls` 參數未設定為 true。	Automated	1	Pass
2.4	Ensure，`--peer-cert-file` 和 `--peer-key-file` 參數已適當設定。	Automated	1	Pass
2.5	Ensure `--peer-client-cert-auth` 參數設定為 true。	Automated	1	Pass
2.6	Ensure `--peer-auto-tls` 參數未設定為 true。	Automated	1	Pass
2.7	Ensure etcd 使用唯一的憑證授權。	手冊	2	未檢查

3 控制平面組態

3.1 驗證與授權

驗證與授權的基準。
科別	建議	手動/自動	等級	結果
3.1.1	Client 不應該對使用者使用憑證驗證。	Manual	2	Pass

3.2 記錄

記錄的基準。
科別	建議	手動/自動	等級	結果
3.2.1	Ensure 已建立最小的稽核政策。	Automated	1	Pass
3.2.2	Ensure 稽核政策涵蓋主要的安全問題。	Manual	2	Pass

4 個工作節點

按照使用合規性操作員中的指示，對工作站節點配置執行自動檢查。

5 項政策

5.1 RBAC 和服務帳號

rbac 和服務帳戶的基準。
科別	建議	手動/自動	等級	結果
5.1.1	Ensure 僅在需要時使用群集管理員角色。	Manual	1	Pass
5.1.2	Minimize 存取機密。	Manual	1	Not 已檢查
5.1.3	Minimize 通配符在 `Roles` 和 `ClusterRoles` 中使用。	Manual	1	Not 已檢查
5.1.4	Minimize 建立 Pod 的權限。	Manual	1	Not 已勾選
5.1.5	Ensure 預設服務帳號未被主動使用。	Automated	1	Not 已檢查
5.1.6	Ensure，只有在必要時才掛載服務帳戶代號。	Manual	1	Not 已檢查

5.2 Pod 安全政策

pod 安全政策的基準。
科別	建議	手動/自動	等級	結果
5.2.1	Minimize 允許有特權的容器進入。	Manual	1	Not 已檢查
5.2.2	Minimize 允許希望共享主機進程 ID 命名空間的容器。	Automated	1	Not 已檢查
5.2.3	Minimize 允許希望共享主機 IPC 命名空間的容器。	Automated	1	Not 已檢查
5.2.4	Minimize 允許希望共享主機網路命名空間的容器。	Automated	1	Not 已檢查
5.2.5	Minimize 容器的准入與 `allowPrivilegeEscalation`。	Automated	1	Not 已檢查
5.2.6	Minimize 接納根容器。	Manual	2	Not 已檢查
5.2.7	Minimize 允許具有 NET_RAW 功能的容器進入。	Manual	1	Not 已檢查
5.2.8	Minimize 允許具有新增功能的容器。	手動	1	未檢查
5.2.9	Minimize 允許已指定能力的容器進入。	Manual	2	Not 已檢查

5.3 網路政策與 CNI

網路政策和 CNI 的基準。
科別	建議	手動/自動	等級	結果
5.3.1	Ensure 使用中的 CNI 支援「網路政策」。	Manual	1	Pass
5.3.2	Ensure 所有命名空間都定義了網路政策。	自動	2	未檢查

5.4 秘密管理

秘密管理的基準。
科別	建議	手動/自動	等級	結果
5.4.1	Prefer 使用秘密作為檔案，而非秘密作為環境變數。	Manual	1	Not 已檢查
5.4.2	Consider 外部秘密儲存。	Manual	2	Not 已檢查

5.5 可擴充的入場控制

可擴充准入控制的基準。
科別	建議	手動/自動	等級	結果
5.5.1	Configure 影像 Provenance 使用影像控制器設定參數。	Manual	2	Not 已檢查

5.7 一般政策

一般政策的基準。
科別	建議	手動/自動	等級	結果
5.7.1	Create 使用命名空間的資源之間的管理界限。	Manual	1	Not 已檢查
5.7.2	Ensure，`seccomp` profile 在您的 pod 定義中設定為 docker/default。	Manual	2	Not 已檢查
5.7.3	Apply Security Context to Your Pods and Containers.	Manual	2	Not checked
5.7.4	The 不應該使用預設命名空間。	Automated	2	Not 已勾選

IBM 補救和解釋

檢閱 IBM 有關 CIS Benchmark 結果的資訊。

IBM 補救和說明的詳細資訊。
區段	建議/說明
1.2.23	Red Hat OpenShift IBM Cloud 上可以選擇啟用 API 伺服器稽核。Kubernetes
1.2.24	Red Hat OpenShift IBM Cloud 上設定參數為 1。`maximumRetainedFiles`
1.2.25	Red Hat OpenShift IBM Cloud 上設定參數為 10。`maximumFileSizeMegabytes`
1.2.33	Red Hat OpenShift IBM Cloud 上可以選擇啟用金鑰管理服務 (KMS) 提供商。Kubernetes
1.2.34	Red Hat OpenShift IBM Cloud 上可以選擇啟用金鑰管理服務 (KMS) 提供商。Kubernetes
2.7	Red Hat OpenShift IBM Cloud 上為配置唯一的憑證授權。etcd
5.2.8	Red Hat OpenShift IBM Cloud 上安裝自訂的。`SCCs`
5.3.2	Red Hat OpenShift IBM Cloud 上定義了一套預設的網路政策，並可選擇新增其他網路政策。Calico