ビュー:
プロファイル適用性: レベル1
名前空間でポッドを作成する能力は、これらのポッドに特権サービスアカウントを割り当てたり、機密データへのアクセスを持つhostPathをマウントしたりするなど、特権昇格の機会を提供する可能性があります (Podセキュリティポリシーがこのアクセスを制限するために実装されていない限り)。
したがって、新しいポッドを作成するアクセスは可能な限り少数のユーザに制限する必要があります。
クラスター内でポッドを作成する能力は、特権昇格の可能性を広げるため、可能な限り制限する必要があります。
注意
注意
デフォルトでは、次のプリンシパルのリストがpodオブジェクトに対してcreate権限を持っています。 
CLUSTERROLEBINDING                                     SUBJECT
TYPE                     SA-NAMESPACE
cluster-admin                                                   system:masters
Group
system:controller:clusterrole-aggregation-controller            clusterrole-
aggregation-controller ServiceAccount kube-system
system:controller:daemon-set-controller                         daemon-set-controller
ServiceAccount kube-system
system:controller:job-controller                                job-controller
ServiceAccount kube-system
system:controller:persistent-volume-binder                      persistent-volume-
binder ServiceAccount kube-system
system:controller:replicaset-controller                         replicaset-controller
ServiceAccount kube-system
system:controller:replication-controller                        replication-controller
ServiceAccount kube-system
system:controller:statefulset-controller                        statefulset-controller
ServiceAccount kube-system

影響

システムコンポーネントが動作に必要とするポッドへのアクセスを削除しないよう注意してください。

監査

KubernetesAPIでpodオブジェクトへの作成アクセス権を持つユーザを確認してください。

修復

可能であれば、クラスター内のpodオブジェクトへのcreateアクセスを削除してください。