プロファイル適用性: レベル 1 - ワーカーノード
kubeletが
--config引数で設定ファイルを参照する場合、そのファイルの権限が600以上の制限であることを確認してください。kubelet は、
--config 引数で指定された構成ファイルからセキュリティ設定を含むさまざまなパラメータを読み取ります。このファイルが指定されている場合、ファイルの整合性を維持するためにファイルの権限を制限する必要があります。ファイルはシステムの管理者のみが書き込み可能であるべきです。 |
注意デフォルトでは、
/var/lib/kubelet/config.yaml ファイルは kubeadm によって設定され、パーミッションは600です。 |
監査
自動化AAC監査が変更され、CIS-CATがkubelet構成yamlファイルの<PATH>/<FileName>の変数を入力できるようになりました。システム上のファイルの場所に基づいて$kubelet_config_yaml=<PATH>を設定してください
export kubelet_config_yaml=/var/lib/kubelet/config.yaml
監査を手動で実行するには、各ワーカーノードで以下のコマンド（システム上のファイルの場所に基づく）を実行してください:
stat -c %a /var/lib/kubelet/config.yaml
権限が600以上の制限であることを確認してください。
修復
次のコマンドを実行します（Auditステップで特定された設定ファイルの場所を使用）:
chmod 600 /var/lib/kubelet/config.yaml