檢視次數:
設定檔適用性：等級 1
如果 kube-proxy 正在運行，請確保其 kubeconfig 檔案的檔案擁有者設置為 root:root。
kube-proxy 的 kubeconfig 檔案控制工作節點中 kube-proxy 服務的各種參數。您應該設定其檔案擁有權以維護檔案的完整性。該檔案應由 root:root 擁有。
注意
注意
Proxy kubeconfig 檔案的預設擁有者是 root:root。

影響

過度寬鬆的檔案存取權限會增加平台的安全風險。

稽核

使用 Google 雲端主控台
  1. 前往 Kubernetes 引擎。
  2. 點擊所需的叢集以打開詳細資訊頁面，然後點擊所需的節點池以打開節點池詳細資訊頁面。
  3. 請記下所需節點的名稱。
  4. 前往VM 實例。
  5. 找到所需的節點，然後點擊「SSH」以開啟與該節點的 SSH 連接。
使用命令列
方法 1：SSH 到工作節點
  1. 檢查 Kubelet 服務是否正在運行： 
    sudo systemctl status kubelet
  2. 輸出應返回Active: active (running) since...。在每個節點上運行以下命令以找到適當的 kubeconfig 檔案： 
    ps -ef | grep kubelet
  3. 上述指令的輸出應返回類似於--kubeconfig/var/lib/kubelet/kubeconfig的內容，這是 kubeconfig 檔案的 位置資訊。
  4. 執行此命令以獲取 kubeconfig 檔案的擁有權： 
    stat -c %U:%G /var/lib/kubelet/kubeconfig
  5. 上述命令的輸出會顯示 kubeconfig 檔案的擁有權。請確認擁有權已設定為 root:root。
方法二：建立並執行具特權的 Pod
  1. 通過部署一個使用 hostPath 卷將節點的檔案系統掛載到 pod 中的 pod，運行一個有足夠權限訪問主機檔案系統的 pod。以下是一個簡單的 pod 定義範例，將主機的根目錄掛載到 pod 中的 /host： 
    apiVersion: v1
kind: Pod
metadata:
name: file-check
spec:
volumes:
- name: host-root
hostPath:
path: /
type: Directory
containers:
- name: nsenter
image: busybox
command: ["sleep", "3600"]
volumeMounts:
- name: host-root
mountPath: /host
securityContext:
privileged: true
  2. 將此保存到檔案中（例如，file-check-pod.yaml）並創建 Pod： 
    kubectl apply -f file-check-pod.yaml
  3. 一旦 pod 運行，您可以執行進入以檢查節點上的文件所有權： 
    kubectl exec -it file-check -- sh
  4. 現在您在 Pod 的 Shell 中，但您可以透過 /host 目錄存取節點的檔案系統，並檢查檔案的擁有權： 
    ls -l /host/var/lib/kubelet/kubeconfig
  5. 確認所有權已設定為root:root。

補救

在每個工作節點上執行以下命令（根據您系統上的檔案位置）：
chown root:root <proxy kubeconfig file>