檢視次數:
設定檔適用性：等級 1
Kubernetes API 存儲秘密，這些秘密可能是 Kubernetes API 的服務帳戶令牌或集群中工作負載使用的憑證。對這些秘密的訪問應限制在最小範圍的使用者群體，以降低權限升級的風險。
不當存取儲存在 Kubernetes 叢集中的機密可能使攻擊者獲得對 Kubernetes 叢集或其憑證以機密形式儲存的外部資源的額外存取權限。
預設值：
CLUSTERROLEBINDING                              SUBJECT 
TYPE             SA-NAMESPACE 
cluster-admin                                            system:masters 
Group 
system:controller:clusterrole-aggregation-controller     clusterrole-
aggregation-controller   ServiceAccount   kube-system 
system:controller:expand-controller                      expand-controller 
ServiceAccount   kube-system 
system:controller:generic-garbage-collector              generic-garbage-
collector          ServiceAccount      kube-system 
system:controller:namespace-controller                   namespace-controller 
ServiceAccount   kube-system 
system:controller:persistent-volume-binder               persistent-volume-
binder             ServiceAccount      kube-system 
system:kube-controller-manager                           system:kube-controller-
manager    User

影響

應注意不要移除系統元件對於其運作所需的機密存取權限。

稽核

檢閱在 Kubernetes API 中對 secrets 物件擁有 get、list 或 watch 存取權限的使用者。

補救

在可能的情況下，移除 get、list 和 watch 對叢集中的 secret 物件的存取權限。