檢視次數:
設定檔適用性：級別 1
Kubernetes API 儲存秘密，這些秘密可能是 Kubernetes API 的服務帳戶令牌或叢集中工作負載使用的憑證。對這些秘密的訪問應限制在最小可能的用戶群，以降低權限升級的風險。
對 Kubernetes 叢集內儲存的機密進行不當存取，可能使攻擊者獲得對 Kubernetes 叢集或其憑證以機密形式儲存的外部資源的額外存取權限。
注意
注意
預設情況下，下列主體對secret物件具有get權限。

影響

應注意不要移除系統元件運行所需的秘密存取權限

稽核

檢查在 Kubernetes API 中對 secrets 物件具有 get、list 或 watch 存取權的使用者。

矯正性處理

在可能的情況下，移除對叢集中secret物件的get、list和watch存取權限：
CLUSTERROLEBINDING                             SUBJECT 
TYPE                     SA-NAMESPACE 
cluster-admin                                           system:masters 
Group 
system:controller:clusterrole-aggregation-controller    clusterrole-
aggregation-controller ServiceAccount kube-system 
system:controller:expand-controller                     expand-controller 
ServiceAccount kube-system 
system:controller:generic-garbage-collector             generic-garbage-
collector                 ServiceAccount kube-system 
system:controller:namespace-controller                  namespace-controller 
ServiceAccount kube-system 
system:controller:persistent-volume-binder              persistent-volume-
binder                    ServiceAccount kube-system 
system:kube-controller-manager                          system:kube-controller-
manager       User