kubeletのkubeconfigファイルの所有権がroot:rootに設定されていることを確認する

ビュー:

プロファイル適用性: レベル1

kube-proxyが実行中の場合、そのkubeconfigファイルの所有者がroot:rootに設定されていることを確認してください。

kube-proxyのkubeconfigファイルは、ワーカーノード内のkube-proxyサービスの様々なパラメータを制御します。ファイルの整合性を維持するために、そのファイルの所有権を設定する必要があります。ファイルはroot:rootが所有する必要があります。

プロキシkubeconfigファイルのデフォルトの所有権はroot:rootです。

過度に許可されたファイルアクセスは、プラットフォームのセキュリティリスクを高めます。

Google Cloud Consoleを使用する

コマンドラインを使用

方法1: ワーカーノードにSSH接続する

Kubeletサービスが実行されているか確認するには:
```
sudo systemctl status kubelet
```
出力はActive: active (running) since...を返す必要があります。適切なkubeconfigファイルを見つけるために各ノードで次のコマンドを実行してください。
```
ps -ef | grep kubelet
```
上記のコマンドの出力は、kubeconfigファイルの場所である--kubeconfig/var/lib/kubelet/kubeconfigに類似したものを返すはずです。
このコマンドを実行してkubeconfigファイルの所有権を取得します:
```
stat -c %U:%G /var/lib/kubelet/kubeconfig
```
上記のコマンドの出力は、kubeconfigファイルの所有権を示します。所有権がroot:rootに設定されていることを確認してください。

方法2: 特権ポッドを作成して実行する

ホストのファイルシステムにアクセスするために十分な権限を持つポッドを実行するには、hostPathボリュームを使用してノードのファイルシステムをポッドにマウントするポッドをデプロイします。以下は、ホストのルートをポッド内の/hostにマウントするシンプルなポッド定義の例です。
```
apiVersion: v1
kind: Pod
metadata:
name: file-check
spec:
volumes:
- name: host-root
hostPath:
path: /
type: Directory
containers:
- name: nsenter
image: busybox
command: ["sleep", "3600"]
volumeMounts:
- name: host-root
mountPath: /host
securityContext:
privileged: true
```
これをファイル (例: file-check-pod.yaml) に保存し、ポッドを作成してください。
```
kubectl apply -f file-check-pod.yaml
```
ポッドが実行されている場合、ノード上のファイル所有権を確認するためにexecでアクセスできます。
```
kubectl exec -it file-check -- sh
```
現在、Pod内のシェルにいますが、/hostディレクトリを通じてノードのファイルシステムにアクセスし、ファイルの所有権を確認できます。
```
ls -l /host/var/lib/kubelet/kubeconfig
```
所有権がroot:rootに設定されていることを確認してください。

各ワーカーノードで (システム上のファイルの場所に基づいて) 以下のコマンドを実行してください。

chown root:root <proxy kubeconfig file>