檢視次數:
設定檔適用性：級別 1
請勿關閉串流連線的逾時設定。
設定閒置超時可確保您免受拒絕服務攻擊、非活動連接和耗盡臨時端口的影響。
注意
注意
預設情況下，--streaming-connection-idle-timeout 設定為 4 小時，這可能對於您環境來說過高。適當地設定此值將確保此類串流連線在完成合法使用案例後超時。
注意
注意
請參閱 Azure AKS 文件以獲取預設值。

影響

長時間連線可能會中斷。

稽核

Audit Method 1:
  1. SSH進入相關節點，並在每個節點上執行以下命令以查找正在運行的kubelet進程：
    ps -ef | grep kubelet
    • 如果該進程的命令行包含參數 streaming-connection-idle-timeout，請確認其未設置為 0。
    • 如果上述命令的輸出中沒有 streaming-connection-idle-timeout 參數，請改參考指定 Kubelet 設定檔位置的 config 參數，例如 --config /etc/kubernetes/kubelet/kubelet-config.json。
  2. 開啟 Kubelet 設定檔：
    cat /etc/kubernetes/kubelet/kubelet-config.json
    確認 streamingConnectionIdleTimeout 參數未設定為 "0"。
Audit Method 2:
如果使用 API configz 端點，請考慮透過從運行 Kubelet 的節點中提取即時配置來搜尋 "streamingConnectionIdleTimeout":"4h0m0s" 的狀態。
  1. 設定本地 Proxy 通訊埠及以下變數，並提供 Proxy 通訊埠號碼和節點名稱：
    • HOSTNAME_PORT="localhost-和-端口號"
    • NODE_NAME="The-Name-Of-Node-To-Extract-Configuration" 來自 "kubectl get nodes" 的輸出
    kubectl proxy --port=8001 & 

export HOSTNAME_PORT=localhost:8001 (example host and port number) 
export NODE_NAME=ip-192.168.31.226.aks.internal (example node name 
from "kubectl get nodes") 

curl -sSL "http://${HOSTNAME_PORT}/api/v1/nodes/${NODE_NAME}/proxy/configz"

矯正性處理

Remediation Method 1:
如果修改 Kubelet 配置檔，請編輯 /etc/kubernetes/kubelet/kubelet-config.json 並將以下參數設置為格式為 #h#m#s 的非零值：
"streamingConnectionIdleTimeout": "4h0m0s"
確保 kubelet 服務檔案 /etc/systemd/system/kubelet.service.d/10-kubelet-args.conf 未指定 --streaming-connection-idle-timeout 參數，因為這會覆蓋 Kubelet 配置檔案。
Remediation Method 2:
如果使用可執行參數，請在每個工作節點上編輯 Kubelet 服務檔案 /etc/systemd/system/kubelet.service.d/10-kubelet-args.conf，並在 KUBELET_ARGS 變數字串的末尾添加以下參數：
--streaming-connection-idle-timeout=4h0m0s
Remediation Method 3:
如果使用 API configz 端點，請考慮透過從執行 Kubelet 的節點提取即時配置來搜尋 "streamingConnectionIdleTimeout": 的狀態。
在 Kubernetes 文件中查看 configmap 步驟，並重新執行審核過程中的 curl 語句以檢查 kubelet 配置變更：
kubectl proxy --port=8001 & 

export HOSTNAME_PORT=localhost:8001 (example host and port number) 
export NODE_NAME=ip-192.168.31.226.aks.internal (example node name from 
"kubectl get nodes") 

curl -sSL "http://${HOSTNAME_PORT}/api/v1/nodes/${NODE_NAME}/proxy/configz"
For all remediations:
重新啟動kubelet服務並驗證狀態：
     systemctl daemon-reload
     systemctl restart kubelet.service
     systemctl status kubelet -l