5.10.3 - GKE Sandboxを使用して信頼されていないワークロードを実行することを検討してください (自動化済み)

影響

• GPUやTPUなどのアクセラレータ
• Istio
• Podまたはコンテナレベルでの監視統計
• ホストパスストレージ
• コンテナごとのPID名前空間
• CPUとメモリの制限は、Guaranteed PodとBurstable Podにのみ適用され、Pod内で実行されているすべてのコンテナに対してCPUとメモリの制限が指定されている場合にのみ適用されます
• hostNetwork、hostPID、hostIPCなどのホスト名前空間を指定するPodSecurityPoliciesを使用するPod
• 特権モードなどのPodSecurityPolicy設定を使用しているPod
• ボリュームデバイス
• ポートフォワード
• Seccomp、Apparmor、Selinux Sysctl、NoNewPrivileges、双方向MountPropagation、FSGroup、ProcMountなどのLinuxカーネルセキュリティモジュール

監査

1. Kubernetes Engine のウェブサイトにアクセスしてください。
2. 各クラスターをクリックし、デフォルトでプロビジョニングされていないノードプールをクリックしてください。
3. ノードプールの詳細ページで、セキュリティの見出しの下にあるノードプールの詳細ページで、Sandbox with gVisorが有効になっていることを確認してください。

gcloud container node-pools describe $NODE_POOL --cluster $CLUSTER_NAME 
--zone $COMPUTE_ZONE --format json | jq '.config.sandboxConfig'

{ 
    "sandboxType":"gvisor" 
}

修復

1. Kubernetes Engine のウェブサイトにアクセスしてください。
2. クラスタを選択して、[ADD NODE POOL] をクリックします。
3. 次の設定でノードプールを構成します。
   • ノードバージョンには、v1.12.6-gke.8以上を選択してください。
   • ノードイメージにはContainer-Optimized OS with Containerd (cos_containerd) (default)を選択してください。
   • セキュリティで、[Enable sandbox with gVisor]を選択します。
4. 必要に応じて他のノードプール設定を行います。
5. [保存] をクリックします。

gcloud container node-pools create <node_pool_name> --zone <compute-zone> 
--cluster <cluster_name> --image-type=cos_containerd --sandbox="type=gvisor"

その他の情報: