ビュー:
プロファイル適用性: レベル1
kubeletの設定ファイルが存在する場合は、root:rootが所有者であることを確認してください。
kubeletは、--config引数で指定された設定ファイルからセキュリティ設定を含むさまざまなパラメータを読み取ります。このファイルが指定されている場合、ファイルの整合性を維持するためにファイルの権限を制限する必要があります。ファイルはroot:rootが所有する必要があります。
注意
注意
デフォルトのファイル所有権はroot:rootです。

影響

過度に許可されたファイルアクセスは、プラットフォームのセキュリティリスクを高めます。

監査

Google Cloud Consoleを使用する
  1. Kubernetes Engineに移動します。
  2. 目的のクラスターをクリックして詳細ページを開き、次に目的のノードプールをクリックしてノードプールの詳細ページを開きます。
  3. 望ましいノード名を書き留めます。
  4. VM インスタンスに移動します。
  5. 目的のノードを見つけて、ノードへのSSH接続を開くために[SSH]をクリックしてください。
コマンドラインを使用する
方法1: ワーカーノードにSSH接続する
  1. Kubeletサービスが実行されているか確認するには: 
    sudo systemctl status kubelet
  2. 出力はActive: active (running) since...を返す必要があります。適切なKubelet設定ファイルを見つけるために、各ノードで次のコマンドを実行してください。 
    ps -ef | grep kubelet
  3. 上記のコマンドの出力は、Kubelet設定ファイルの場所である--config/etc/kubernetes/kubelet/kubelet-config.yamlに類似したものを返すはずです。
  4. このコマンドを実行してください: 
    stat -c %U:%G /etc/kubernetes/kubelet/kubelet-config.yaml
  5. 上記のコマンドの出力は、Kubelet設定ファイルの所有権を示します。所有権がroot:rootに設定されていることを確認してください。
方法2: 特権ポッドを作成して実行する
  1. ホストのファイルシステムにアクセスするために十分な権限を持つポッドを実行するには、hostPathボリュームを使用してノードのファイルシステムをポッドにマウントするポッドをデプロイします。以下は、ホストのルートをポッド内の/hostにマウントするシンプルなポッド定義の例です。 
    apiVersion: v1
kind: Pod
metadata:
name: file-check
spec:
volumes:
- name: host-root
hostPath:
path: /
type: Directory
containers:
- name: nsenter
image: busybox
command: ["sleep", "3600"]
volumeMounts:
- name: host-root
mountPath: /host
securityContext:
privileged: true
  2. これをファイル (例: file-check-pod.yaml) に保存し、ポッドを作成します。 
    kubectl apply -f file-check-pod.yaml
  3. ポッドが稼働したら、ノード上のファイル所有権を確認するためにexecでアクセスできます。 
    kubectl exec -it file-check -- sh
  4. 現在、Pod内のシェルにいますが、/hostディレクトリを通じてノードのファイルシステムにアクセスし、ファイルの所有権を確認できます。 
    ls -l /etc/kubernetes/kubelet/kubelet-config.yaml
  5. 所有権がroot:rootに設定されていることを確認してください。

修復

監査手順で特定された設定ファイルの場所を使用して、以下のコマンドを実行してください。
chown root:root <kubelet_config_file>