3.2.4 - Sicherstellen, dass der --read-only-port gesichert ist (Automatisiert)

Ansichten:

Profilanwendbarkeit: Stufe 1

Deaktivieren Sie den schreibgeschützten Port.

Der Kubelet-Prozess stellt zusätzlich zur Haupt-Kubelet-API eine schreibgeschützte API bereit. Unauthentifizierter Zugriff wird auf diese schreibgeschützte API gewährt, die möglicherweise potenziell sensible Informationen über das Cluster abrufen könnte.

Hinweis

Siehe die Azure AKS-Dokumentation für den Standardwert.

Auswirkung

Das Entfernen des schreibgeschützten Ports erfordert, dass jeder Dienst, der ihn genutzt hat, neu konfiguriert werden muss, um die Haupt-Kubelet-API zu verwenden.

Prüfung

Wenn eine Kubelet-Konfigurationsdatei verwendet wird, überprüfen Sie, ob ein Eintrag für authentication: anonymous: enabled auf 0 gesetzt ist.

SSH zum entsprechenden Knoten und führen Sie den folgenden Befehl auf jedem Knoten aus, um die passende Kubelet-Konfigurationsdatei zu finden:
```
ps -ef | grep kubelet
```
Die Ausgabe des obigen Befehls sollte etwas Ähnliches wie --config /etc/kubernetes/kubelet/kubelet-config.json zurückgeben, was den Speicherort der Kubelet-Konfigurationsdatei darstellt.

Öffnen Sie die Kubelet-Konfigurationsdatei:

cat /etc/kubernetes/kubelet/kubelet-config.json

Überprüfen Sie, ob das Argument --read-only-port existiert und auf 0 gesetzt ist.
Wenn das Argument --read-only-port nicht vorhanden ist, überprüfen Sie, ob eine Kubelet-Konfigurationsdatei durch --config angegeben ist. Überprüfen Sie, ob ein Eintrag readOnlyPort in der Datei vorhanden ist und ob er auf 0 gesetzt ist.

Wiederherstellung

Remediation Method 1:

Wenn Sie die Kubelet-Konfigurationsdatei ändern, bearbeiten Sie /etc/kubernetes/kubelet/kubelet-config.json und setzen Sie den untenstehenden Parameter auf false:

     readOnlyPort to 0

Remediation Method 2:

Wenn ausführbare Argumente verwendet werden, bearbeiten Sie die Kubelet-Dienstdatei /etc/systemd/system/kubelet.service.d/10-kubelet-args.conf auf jedem Worker-Knoten und fügen Sie am Ende der KUBELET_ARGS-Variablenzeichenfolge den folgenden Parameter hinzu:

--read-only-port=0

For all remediations:

Starten Sie den kubelet-Dienst neu und überprüfen Sie den Status:

     systemctl daemon-reload
     systemctl restart kubelet.service
     systemctl status kubelet -l