ビュー:
プロファイル適用性: レベル1
読み取り専用ポートを無効にする。
Kubeletプロセスは、メインのKubelet APIに加えて読み取り専用のAPIを提供します。この読み取り専用APIには認証されていないアクセスが提供されており、クラスタに関する潜在的に機密性のある情報を取得する可能性があります。
注意
注意
Amazon EKSのドキュメントでデフォルト値を確認してください。

影響

読み取り専用ポートの削除には、それを使用していたすべてのサービスをメインのKubelet APIを使用するように再構成する必要があります。

監査

  1. Kubelet構成ファイルを使用している場合、authentication: anonymous: enabledが0に設定されているエントリがあることを確認してください。
  2. 関連するノードにSSHで接続します。各ノードで以下のコマンドを実行して、適切なKubelet設定ファイルを見つけてください。 
    ps -ef | grep kubelet
    上記のコマンドの出力は、--config/etc/kubernetes/kubelet/kubelet-config.jsonのようなものを返すはずです。これはKubeletの設定ファイルの場所です。
  3. Kubelet設定ファイルを開く: 
    cat /etc/kubernetes/kubelet/kubelet-config.json
  4. --read-only-port引数が存在し、0に設定されていることを確認してください。
  5. --read-only-port引数が存在しない場合、--configで指定されたKubelet設定ファイルがあることを確認してください。ファイル内にreadOnlyPortエントリがある場合、それが0に設定されていることを確認してください。

修復

Kubelet設定ファイルを変更する場合、kubelet-config.jsonファイル/etc/kubernetes/kubelet/kubelet-config.jsonを編集し、以下のパラメータを0に設定してください。 
"readOnlyPort": 0
実行可能な引数を使用する場合は、各ワーカーノードのkubeletサービスファイル/etc/systemd/system/kubelet.service.d/10-kubelet-args.confを編集し、以下のパラメータをKUBELET_ARGS変数文字列の末尾に追加してください。 
--read-only-port=0
各修正ごとに、kubeletサービスを再起動し、システムに基づいてステータスを確認してください。
systemctl daemon-reload
systemctl restart kubelet.service
systemctl status kubelet -l