檢視次數:
設定檔適用性：等級 1
Kubernetes API 存儲秘密，這些秘密可能是 Kubernetes API 的服務帳戶令牌或集群中工作負載使用的憑證。應將對這些秘密的訪問限制在最小的使用者群組，以降低權限升級的風險。
不當存取儲存在 Kubernetes 叢集中的機密可能使攻擊者獲得對 Kubernetes 叢集或其憑證以機密形式儲存的外部資源的額外存取權限。
注意
注意
預設情況下，以下主體列表對secret物件具有get權限： 
CLUSTERROLEBINDING                                     SUBJECT
TYPE                     SA-NAMESPACE
cluster-admin                                                   system:masters
Group
system:controller:clusterrole-aggregation-controller            clusterrole-
aggregation-controller ServiceAccount kube-system
system:controller:expand-controller                             expand-controller
ServiceAccount kube-system
system:controller:generic-garbage-collector                     generic-garbage-
collector ServiceAccount kube-system
system:controller:namespace-controller                          namespace-controller
ServiceAccount kube-system
system:controller:persistent-volume-binder                      persistent-volume-
binder ServiceAccount kube-system
system:kube-controller-manager                                  system:kube-controller-
manager User

影響

應注意不要移除系統元件對於其運作所需的機密存取權限。

稽核

檢閱在 Kubernetes API 中對 secrets 物件擁有 get、list 或 watch 存取權的使用者。

補救

在可能的情況下，移除 get、list 和 watch 對叢集中的 secret 物件的存取權限。