ビュー:
プロファイル適用性: レベル1
hostNetworkフラグがtrueに設定され、通常はコンテナの実行を許可しない。
ホストのネットワークネームスペースで実行されているコンテナは、ローカルループバックデバイスにアクセスでき、他のポッドとの間のネットワークトラフィックにアクセスできる可能性があります。
コンテナがホストネットワーク名前空間を共有することを許可しない入場制御ポリシーを少なくとも1つ定義する必要があります。
ホストのネットワークネームスペースへのアクセスを必要とするコンテナを実行する必要がある場合、これを別のポリシーで定義し、限られたサービスアカウントとユーザのみにそのポリシーを使用する許可が与えられていることを慎重に確認する必要があります。
注意
注意
デフォルトでは、hostNetworkコンテナの作成に制限はありません。

影響

spec.hostNetwork: trueで定義されたポッドは、特定のポリシーの下で実行されない限り許可されません。

監査

クラスター内の各ネームスペースで使用されているポリシーを一覧表示し、各ポリシーがhostNetworkコンテナの許可を禁止していることを確認してください。
各ポッドを手動で確認するのは、特に大規模な環境では時間がかかるため、hostNetworkがtrueに設定されているポッドをフィルタリングするためのより自動化されたアプローチを使用できます。ここに、kubectlとjqを使用したコマンドがあります。
オプション1
kubectl get pods --all-namespaces -o json | jq -r '.items[] |
select(.spec.hostNetwork == true) |
"\(.metadata.namespace)/\(.metadata.name)"'
オプション2
kubectl get pods --all-namespaces -o json | jq '.items[] |
select(.metadata.namespace != "kube-system" and .spec.hostNetwork ==
true) | {pod: .metadata.name, namespace: .metadata.namespace,
container: .spec.containers[].name}'
Pod Security Policyを作成する際、["kube-system"]名前空間はデフォルトで除外されます。
このコマンドは、すべてのネームスペースにあるすべてのポッドをJSON形式で取得し、次にjqを使用してhostNetworkフラグがtrueに設定されているものをフィルタリングし、最後に一致する各ポッドのネームスペースと名前を表示するように出力をフォーマットします。

修復

ユーザワークロードがあるクラスター内の各ネームスペースにポリシーを追加して、hostNetworkコンテナのアドミッションを制限します。