CIS Ubuntu ベンチマーク

このドキュメントでは、GKE on VMware が CIS Ubuntu Benchmark にどの程度しているかについて説明します。

バージョン

このドキュメントでは、次のバージョンを参照しています。

Anthos のバージョン Ubuntu のバージョン CIS Ubuntu Benchmark のバージョン CIS レベル
1.14 20.04 LTS v1.0.0 Level 2 Server

ベンチマークにアクセスする

CIS Ubuntu Benchmark は CIS ウェブサイトで入手できます。

構成プロファイル

CIS Ubuntu Benchmark のドキュメントでは、構成プロファイルについて確認できます。GKE on VMware で使用される Ubuntu イメージは、Level 2 - Server のプロファイルに対応するように強化されています。

GKE on VMware の評価

次の値を使用して、GKE on VMware の Ubuntu 推奨事項のステータスを表します。

ステータス 説明
Pass ベンチマークの推奨事項を遵守している。
失敗 ベンチマークの推奨事項を遵守していない。
同等の統制 ベンチマークの推奨事項を完全には遵守していないが、GKE on VMware の他のメカニズムによって同等のセキュリティ コントロールが可能である。
環境に依存 GKE on VMware では、ベンチマークの推奨事項に関連する項目は構成されていない。ご利用の構成により、環境が推奨事項を遵守しているかどうかが決まる。

GKE on VMware のステータス

GKE on VMware で使用される Ubuntu イメージは、CIS Level 2 - Server のプロファイルを満たすように強化されています。次の表は、GKE on VMware のコンポーネントが特定の推奨事項に合格しなかった理由を示しています。

# 推奨事項 スコア付き / スコアなし ステータス 理由 影響を受けるコンポーネント
1.1.2 /tmp が構成されていることを確認する スコア付き 失敗 現時点では、Canonical によりクラウド イメージ パーティションが変更される予定はありません。 すべてのクラスタノード、管理ワークステーション、Seesaw
1.1.10 /var 用の別のパーティションが存在することを確認する スコア付き 修正しない 現時点では、Canonical によりクラウド イメージ パーティションが変更される予定はありません。 すべてのクラスタノード、管理ワークステーション、Seesaw
1.1.11 /var/tmp 用の別のパーティションが存在することを確認する スコア付き 修正しない 現時点では、Canonical によりクラウド イメージ パーティションが変更される予定はありません。 すべてのクラスタノード、管理ワークステーション、Seesaw
1.1.15 /var/log 用の別のパーティションが存在することを確認する スコア付き 修正しない 現時点では、Canonical によりクラウド イメージ パーティションが変更される予定はありません。 すべてのクラスタノード、管理ワークステーション、Seesaw
1.1.16 /var/log/audit 用の別のパーティションが存在することを確認する スコア付き 修正しない 現時点では、Canonical によりクラウド イメージ パーティションが変更される予定はありません。 すべてのクラスタノード、管理ワークステーション、Seesaw
1.1.17 /home 用の別のパーティションが存在することを確認する スコア付き 修正しない 現時点では、Canonical によりクラウド イメージ パーティションが変更される予定はありません。 すべてのクラスタノード、管理ワークステーション、Seesaw
1.1.22 すべてのグローバルに書き込み可能なディレクトリにスティッキー ビットが設定されていることを確認する スコア付き 失敗 これにより、Anthos の機能やそのサービスが中断される可能性があり、デフォルトでは有効になっていません。 すべてのクラスタノード、管理ワークステーション
1.5.1 ブートローダー構成の権限が構成されていることを確認する スコア付き 失敗 権限がデフォルトのままになっています。 すべてのクラスタノード、Seesaw
1.5.2 ブートローダーのパスワードが設定されていることを確認する スコア付き 環境に依存 Ubuntu クラウド イメージには root パスワードが設定されていません。 すべてのクラスタノード、管理ワークステーション、Seesaw
1.5.3 シングル ユーザー モードで認証が必要であることを確認する スコア付き 環境に依存 Ubuntu クラウド イメージには root パスワードが設定されていません。 すべてのクラスタノード、管理ワークステーション、Seesaw
2.3.6 RPC がインストールされていないことを確認する スコア付き 失敗 rpcbind が、デフォルトでは有効になっていませんが、Canonical のクラウド イメージにインストールされています。このルールではインストールされていないことが求められるため、失敗します すべてのクラスタノード
3.2.2 IP 転送が無効になっていることを確認する スコア付き 失敗 Kubernetes（GKE）がトラフィックを正しく動作させ、ルーティングするために、IP 転送は必須です。 すべてのクラスタノード、管理ワークステーション、Seesaw
3.2.7 リバースパス フィルタリングが有効になっていることを確認する スコア付き 環境に依存 非同期ルーティングとリバースパス開始は、クラスタの負荷分散を提供するための要件です。 Seesaw
3.5.3.2.1 デフォルトの拒否ファイアウォール ポリシーを確認する スコア付き 環境に依存 GKE on VMware は、適切なファイアウォール保護を使用してプライベート ネットワークにデプロイすることをおすすめします。必要なファイアウォール ルールについてはこちらをご覧ください。 すべてのクラスタノード、管理ワークステーション、Seesaw
3.5.3.2.2 ループバック トラフィックが構成されていることを確認する スコア付き 環境に依存 ループバック インターフェースの用途は、使用される特定の負荷分散機能に制限されます。 Seesaw
3.5.3.2.4 開放しているポートすべてにファイアウォール ルールが存在することを確認する スコアなし 環境に依存 GKE on VMware は、適切なファイアウォール保護を使用してプライベート ネットワークにデプロイすることをおすすめします。必要なファイアウォール ルールについてはこちらをご覧ください。 すべてのクラスタノード、管理ワークステーション、Seesaw
3.5.3.3.1 IPv6 のデフォルトの拒否ファイアウォール ポリシーを確認する スコア付き 環境に依存 GKE on VMware は、適切なファイアウォール保護を使用してプライベート ネットワークにデプロイすることをおすすめします。必要なファイアウォール ルールについてはこちらをご覧ください。 また、Anthos は、GA サポートにおいて IPv6 の要件を満たしていません。 すべてのクラスタノード、管理ワークステーション、Seesaw
3.5.3.3.2 IPv6 のループバック トラフィックが構成されていることを確認する スコア付き 環境に依存 Anthos は、GA サポートにおいて IPv6 の要件を満たしていません。 管理コントロール プレーン、Seesaw
4.1.1.3 auditd よりも前に開始されるプロセスの監査が有効になっていることを確認する スコア付き 失敗 ビルドプロセスに関する既知の問題により失敗と報告されますが、これは誤ったアラームと見なされます。この問題は今後修正される予定です。 すべてのクラスタノード、Seesaw
4.1.11 特権コマンドの使用が収集されることを確認する スコア付き 失敗 一部のバイナリはランタイムにインストールされるため、ランタイムの修正が必要です。 すべてのクラスタノード、管理ワークステーション、Seesaw
4.2.1.5 リモートログのホストにログを送信するように rsyslog が構成されていることを確認する スコア付き 環境に依存 現在、GKE on VMWare はすべての journald ログをシステムサービスから収集します。これらのログは「k8s_node」下で確認できます。 すべてのクラスタノード、管理ワークステーション、Seesaw
4.2.3 すべてのログファイルの権限が構成されていることを確認する スコア付き 失敗 多くのサービスでは、ログファイルを書き込むためのグループが必要になることがあるため、この特定のテストは制限が多すぎ、また非現実的です。この項目は今後のベンチマークで削除される可能性があります。 すべてのクラスタノード、管理ワークステーション、Seesaw
4.4 logrotate によって適切な権限が割り当てられるようにする スコア付き 失敗 このルールに準拠すると、現在のロギング機能に影響する可能性があります すべてのクラスタノード、Seesaw
5.2.18 SSH アクセスが制限されていることを確認する スコア付き 環境に依存 デフォルトでは構成されていません。特定の要件に合わせて構成できます。 すべてのクラスタノード、管理ワークステーション、Seesaw
5.2.20 SSH AllowTcpForwarding が無効であることを確認する スコア付き 失敗 このルールに準拠すると、現在の SSH トンネル機能に影響する可能性があります すべてのクラスタノード
5.4.1.1 パスワードの有効期限を 365 日以内にする スコア付き 同等の統制 GKE on VMware の VM は、ユーザー ログインにパスワードを使用せず、SSH 認証鍵を使用します すべてのクラスタノード
6.1.10 グローバルに書き込み可能なファイルがないことを確認する スコア付き 失敗 権限がデフォルトのままになっています。 すべてのクラスタノード
6.1.11 未所有ファイルやディレクトリが存在しないことを確認する スコア付き 失敗 権限がデフォルトのままになっています。 すべてのクラスタノード
6.1.12 グループ化されていないファイルやディレクトリが存在しないことを確認する スコア付き 失敗 権限がデフォルトのままになっています。 すべてのクラスタノード
6.2.7 ユーザーのドットファイルがグループまたはグローバルに書き込み可能ではないことを確認する スコア付き 失敗 Ubuntu のデフォルト設定では、互換性のためにドットファイルのグループ権限が許可されています。 管理ワークステーション

AIDE cron ジョブを構成する

AIDE は、CIS L1 Server ベンチマーク 1.4 Filesystem Integrity Checking に準拠していることを確認するファイル整合性チェックツールです。GKE on VMware では、AIDE プロセスによってリソース使用率が高い問題が引き起こされています。

1.12 以降では、リソースの問題を防ぐため、ノードの AIDE プロセスはデフォルトで無効になっています。これは CIS L1 Server ベンチマーク 1.4.2（Ensure filesystem integrity is regularly checked.）への準拠に影響します。

AIDE cron ジョブの実行を有効にする場合は、次の手順で AIDE を再度有効にします。

  1. DaemonSet を作成します。

    DaemonSet のマニフェストを次に示します。

    apiVersion: apps/v1
kind: DaemonSet
metadata:
name: enable-aide-pool1
spec:
selector:
  matchLabels:
    app: enable-aide-pool1
template:
  metadata:
    labels:
      app: enable-aide-pool1
  spec:
    hostIPC: true
    hostPID: true
    nodeSelector:
      cloud.google.com/gke-nodepool: pool-1
    containers:
    - name: update-audit-rule
      image: ubuntu
      command: ["chroot", "/host", "bash", "-c"]
      args:
      - |
        set -x
        while true; do
          # change daily cronjob schedule
          minute=30;hour=5
          sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab

          # enable aide
          chmod 755 /etc/cron.daily/aide

          sleep 3600
        done
      volumeMounts:
      - name: host
        mountPath: /host
      securityContext:
        privileged: true
    volumes:
    - name: host
      hostPath:
        path: /

    上のマニフェストでは、次のようになっています。

    • AIDE cron ジョブは、nodeSelector cloud.google.com/gke-nodepool: pool-1 で指定されたノードプール pool-1 でのみ実行されます。AIDE プロセスを、任意の数のノードプールで実行するように構成するには、nodeSelector フィールドでプールを指定します。異なるノードプール間で同じ cron ジョブ スケジュールを実行するには、nodeSelector フィールドを削除します。ただし、ホストリソースの輻輳を回避するために、個別のスケジュールを維持することをおすすめします。

    • cron ジョブは、構成 minute=30;hour=5 で指定されているとおり、毎日午前 5 時 30 分に実行されるようにスケジュールされます。必要に応じて、AIDE cron ジョブに異なるスケジュールを構成できます。

  2. このマニフェストを enable-aide.yaml という名前のファイルにコピーして DaemonSet を作成します。

kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml

USER_CLUSTER_KUBECONFIG は、ユーザー　クラスタの kubeconfig ファイルのパスです。