Ansichten:
Profilanwendbarkeit: Stufe 1
Die spezielle Gruppe system:masters sollte nicht verwendet werden, um Berechtigungen an Benutzer oder Dienstkonten zu erteilen, es sei denn, es ist unbedingt erforderlich (z. B. um den Zugriff vor der vollständigen Verfügbarkeit von RBAC zu ermöglichen)
Die system:masters-Gruppe hat uneingeschränkten Zugriff auf die Kubernetes-API, die fest im Quellcode des API-Servers verankert ist. Ein authentifizierter Benutzer, der Mitglied dieser Gruppe ist, kann seinen Zugriff nicht reduzieren, selbst wenn alle Bindungen und Cluster-Rollenbindungen, die sie erwähnen, entfernt werden.
In Kombination mit der Client-Zertifikat-Authentifizierung kann die Verwendung dieser Gruppe dazu führen, dass unwiderrufliche Cluster-Admin-Berechtigungen für einen Cluster existieren.
GKE enthält den Zulassungs-Controller CertificateSubjectRestriction, der Anfragen für die Gruppe system:masters ablehnt.
CertificateSubjectRestriction "Dieser Admission-Controller beobachtet die Erstellung von CertificateSigningRequest-Ressourcen, die einen spec.signerName von kubernetes.io/kube-apiserver-client haben. Er lehnt jede Anfrage ab, die eine 'Gruppe' (oder 'Organisationsattribut') von system:masters angibt." Siehe die Kubernetes-Dokumentation für weitere Informationen.
Hinweis
Hinweis
Standardmäßig erstellen einige Cluster ein "Break Glass"-Client-Zertifikat, das Mitglied dieser Gruppe ist. Der Zugriff auf dieses Client-Zertifikat sollte sorgfältig kontrolliert werden und es sollte nicht für allgemeine Cluster-Operationen verwendet werden.

Auswirkung

Sobald das RBAC-System in einem Cluster betriebsbereit ist, sollte system:masters nicht speziell erforderlich sein, da gewöhnliche Bindungen von Prinzipalen zur cluster-admin-Clusterrolle vorgenommen werden können, wenn uneingeschränkter Zugriff erforderlich ist.

Prüfung

Überprüfen Sie eine Liste aller Anmeldedaten, die Zugriff auf den Cluster haben, und stellen Sie sicher, dass die Gruppe system:masters nicht verwendet wird.

Wiederherstellung

Entfernen Sie die system:masters-Gruppe von allen Benutzern im Cluster.