Ansichten:
Profilanwendbarkeit: Stufe 1
Die spezielle Gruppe system:masters sollte nicht verwendet werden, um Berechtigungen für Benutzer oder Dienstkonten zu gewähren, außer wenn es unbedingt erforderlich ist (z. B. um Zugriff vor der vollständigen Verfügbarkeit von RBAC zu ermöglichen)
Die system:masters-Gruppe hat uneingeschränkten Zugriff auf die Kubernetes-API, die fest im Quellcode des API-Servers verankert ist. Ein authentifizierter Benutzer, der Mitglied dieser Gruppe ist, kann seinen Zugriff nicht reduzieren, selbst wenn alle Bindungen und Cluster-Rollenbindungen, die sie erwähnen, entfernt werden.
In Kombination mit der Client-Zertifikat-Authentifizierung kann die Verwendung dieser Gruppe dazu führen, dass unwiderrufliche Cluster-Admin-Berechtigungen für einen Cluster existieren.
GKE enthält den CertificateSubjectRestriction-Admission-Controller, der Anfragen für die system:masters-Gruppe ablehnt.
CertificateSubjectRestriction "Dieser Admission-Controller beobachtet die Erstellung von CertificateSigningRequest-Ressourcen, die einen spec.signerName von kubernetes.io/kube-apiserver-client haben. Er lehnt jede Anfrage ab, die eine 'Gruppe' (oder 'Organisationsattribut') von system:masters angibt." Siehe die Kubernetes-Dokumentation für weitere Informationen.
Hinweis
Hinweis
Standardmäßig erstellen einige Cluster ein "Break Glass" Client-Zertifikat, das Mitglied dieser Gruppe ist. Der Zugriff auf dieses Client-Zertifikat sollte sorgfältig kontrolliert werden und es sollte nicht für allgemeine Cluster-Operationen verwendet werden.

Auswirkung

Sobald das RBAC-System in einem Cluster in Betrieb ist, sollte system:masters nicht speziell erforderlich sein, da gewöhnliche Bindungen von Prinzipalen zur cluster-admin Clusterrolle vorgenommen werden können, wo uneingeschränkter Zugriff erforderlich ist.

Prüfung

Überprüfen Sie eine Liste aller Anmeldedaten, die Zugriff auf den Cluster haben, und stellen Sie sicher, dass die Gruppe system:masters nicht verwendet wird.

Wiederherstellung

Entfernen Sie die system:masters-Gruppe von allen Benutzern im Cluster.