Policy Controller include una libreria predefinita di modelli di vincolo che possono essere utilizzati con il bundle CIS per verificare la conformità del cluster con il benchmark CIS Kubernetes v1.7.1. Questo benchmark è un insieme di suggerimenti per configurare Kubernetes in modo che supporti una solida postura di sicurezza.
Questa pagina è rivolta agli amministratori IT e agli operatori che vogliono assicurarsi che tutte le risorse in esecuzione sulla piattaforma cloud soddisfino i requisiti di conformità fornendo e mantenendo l'automazione per le attività di in modo forzato. Per scoprire di più sui ruoli comuni e sulle attività di esempio a cui facciamo riferimento nei contenuti di Google Cloud, consulta Ruoli e attività utente comuni di GKE Enterprise.
Questo bundle di vincoli gestisce e applica i criteri nei domini:
- RBAC e account di servizio
- Criteri di sicurezza dei pod
- Criteri di rete e CNI
- Gestione dei secret
- Controllo di ammissione estensibile
- Norme generali
Vincoli del bundle di criteri di Kubernetes v1.7.1 per CIS
Nome vincolo | Descrizione vincolo | ID controllo |
---|---|---|
cis-k8s-v1.7.1-restrict-system-masters-group | Non consente l'uso del gruppo system:masters . Non ha alcun effetto durante l'audit.
|
5.1.7 |
cis-k8s-v1.7.1-restrict-env-var-secrets | Limita l'utilizzo dei secret come variabili di ambiente nelle definizioni di container. | 5.4.1 |
cis-k8s-v1.7.1-restrict-capabilities | I container devono eliminare la funzionalità NET_RAW e non possono aggiungere di nuovo alcuna funzionalità.
|
5.2.8, 5.2.9, 5.2.10 |
cis-k8s-v1.7.1-require-admission-controller | Richiede l’ammissione della sicurezza dei pod o un sistema di controllo dei criteri esterno. | 5.2.1 |
cis-k8s-v1.7.1-require-binauthz | Richiede il webhook di convalida di ammissione di Autorizzazione binaria. | 5.5.1 |
cis-k8s-v1.7.1-require-namespace-networkpolicy | Richiede che ogni spazio dei nomi definito nel cluster abbia un NetworkPolicy .
|
5.3.2 |
cis-k8s-v1.7.1-require-seccomp-default | Richiede che i pod abbiano il profilo seccomp impostato su runtime/default o docker/default .
|
5.7.2 |
cis-k8s-v1.7.1-require-securitycontext | Richiede che i pod definiscano securityContext .
|
5.7.3 |
cis-k8s-v1.7.1-restrict-aggregation-controller | Limita l'uso del ruolo clusterrole-aggregation-controller .
|
5.1.8 |
cis-k8s-v1.7.1-restrict-automountserviceaccounttoken | Limita l'utilizzo dei token degli account di servizio. | 5.1.5, 5.1.6 |
cis-k8s-v1.7.1-restrict-bind-escalate-impersonate | Limita l'accesso per vincolare, riassegnare o rubare l'identità in Roles e ClusterRoles .
|
5.1.8 |
cis-k8s-v1.7.1-restrict-certificatesigningrequests-approval | Limita l'accesso all'API Client Certificate Approval. | 5.1.11 |
cis-k8s-v1.7.1-restrict-cluster-admin-role | Limita l'utilizzo del ruolo cluster-admin .
|
5.1.1, 5.1.8 |
cis-k8s-v1.7.1-restrict-creation-with-default-serviceaccount | Limita la creazione di risorse utilizzando un account di servizio predefinito. Non ha effetto durante il controllo. | 5.1.5 |
cis-k8s-v1.7.1-restrict-default-namespace | Impedisce ai pod di utilizzare lo spazio dei nomi predefinito. | 5.7.1, 5.7.4 |
cis-k8s-v1.7.1-restrict-host-namespace | Limita i container con hostPID o hostIPC impostato su true .
|
5.2.3, 5.2.4 |
cis-k8s-v1.7.1-restrict-host-port | Limita l'esecuzione dei container con la configurazione hostPort .
|
5.2.13 |
cis-k8s-v1.7.1-restrict-hostpath-volumes | Limita l'utilizzo dei volumi hostPath .
|
5.2.12 |
cis-k8s-v1.7.1-restrict-hostnetwork | Limita l'esecuzione dei container con il flag hostNetwork impostato su true .
|
5.2.5 |
cis-k8s-v1.7.1-restrict-nodes-proxy | Limita l'accesso alla risorsa secondaria del proxy dei nodi in Roles e ClusterRoles .
|
5.1.10 |
cis-k8s-v1.7.1-restrict-persistent-volume | Limita la creazione di persistentvolumes in Roles e ClusterRoles .
|
5.1.9 |
cis-k8s-v1.7.1-restrict-pods-create | Limita la creazione di pod in Roles e ClusterRoles .
|
5.1.4 |
cis-k8s-v1.7.1-restrict-privilege-escalation | Limita i container con allowPrivilegeEscalation impostato su true .
|
5.2.6 |
cis-k8s-v1.7.1-restrict-privileged-containers | Limita i container con securityContext.privileged impostato su true .
|
5.2.2 |
cis-k8s-v1.7.1-restrict-role-secrets | Limita l'utilizzo dei secret in Roles e ClusterRoles .
|
5.1.2 |
cis-k8s-v1.7.1-restrict-role-wildcards | Limita l'uso dei caratteri jolly in Roles e ClusterRoles .
|
5.1.3 |
cis-k8s-v1.7.1-restrict-root-containers | Limita l'esecuzione dei container come utente root. | 5.2.7 |
cis-k8s-v1.7.1-restrict-secrets-of-type-basic-auth | Limita l'utilizzo dei secret di tipo basic-auth .
|
5.4.2 |
cis-k8s-v1.7.1-restrict-serviceaccounts-token | Limita la creazione di token account di servizio in Roles e ClusterRoles .
|
5.1.13 |
cis-k8s-v1.7.1-restrict-webhook-config | Limita l'accesso agli oggetti di configurazione webhook in Roles e ClusterRoles .
|
5.1.12 |
cis-k8s-v1.7.1-restrict-windows-hostprocess | Limita l'esecuzione di container o pod Windows hostProcess .
|
5.2.11 |
Prima di iniziare
- Installare e inizializzare
Google Cloud CLI
che fornisce i comandi
gcloud
ekubectl
utilizzati in queste istruzioni. Se utilizzi Cloud Shell, Google Cloud CLI è preinstallato. - Installa Policy Controller sul tuo cluster con la libreria predefinita di modelli di vincolo. Devi inoltre abilitare il supporto dei vincoli referenziali, poiché questo bundle contiene vincoli referenziali.
Configurazione per i vincoli di referenza
Salva il seguente manifest YAML in un file come
policycontroller-config.yaml
. Il manifest configura Policy Controller per il controllo di tipi specifici di oggetti.apiVersion: config.gatekeeper.sh/v1alpha1 kind: Config metadata: name: config namespace: "gatekeeper-system" spec: sync: syncOnly: - group: "admissionregistration.k8s.io" version: "v1" kind: "ValidatingWebhookConfiguration" - group: "networking.k8s.io" version: "v1" kind: "NetworkPolicy"
Applica il manifest
policycontroller-config.yaml
:kubectl apply -f policycontroller-config.yaml
Configura il cluster e il carico di lavoro
- Abilitazione e configurazione di
L'Autorizzazione binaria è obbligatoria in
cis-k8s-v1.7.1-require-binauthz
.
Controlla il bundle di criteri di Kubernetes v1.7.1 per CIS
Policy Controller consente di applicare i criteri per il cluster Kubernetes. Per aiutarti a testare i tuoi carichi di lavoro e la loro conformità alle norme CIS Kubernetes v1.7.1 descritte nella tabella precedente, puoi implementare questi vincoli in modalità "audit" per rilevare e risolvere le violazioni.
Puoi applicare questi criteri con spec.enforcementAction
impostato su dryrun
utilizzando kubectl,
kpt o
Config Sync.
kubectl
(Facoltativo) Visualizza l'anteprima dei vincoli dei criteri con kubectl:
kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-k8s-v1.7.1
Applica i vincoli dei criteri con kubectl:
kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-k8s-v1.7.1
L'output è il seguente:
k8savoiduseofsystemmastersgroup.constraints.gatekeeper.sh/cis-k8s-v1.7.1-avoid-use-of-system-masters-group created k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-creation-with-default-serviceaccount created k8sblockobjectsoftype.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-secrets-of-type-basic-auth created k8snoenvvarsecrets.constraints.gatekeeper.sh/cis-k8s-v1.7.1-no-secrets-as-env-vars created k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-privilege-escalation created k8spspallowedusers.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-root-containers created k8spspcapabilities.constraints.gatekeeper.sh/cis-k8s-v1.7.1-psp-capabilities created k8spsphostfilesystem.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-hostpath-volumes created k8spsphostnamespace.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-host-namespace created k8spsphostnetworkingports.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-host-port created k8spsphostnetworkingports.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-hostnetwork created k8spspprivilegedcontainer.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-privileged-containers created k8spspseccomp.constraints.gatekeeper.sh/cis-k8s-v1.7.1-require-seccomp-default created k8spspwindowshostprocess.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-windows-hostprocess created k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/cis-k8s-v1.7.1-require-securitycontext created k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-role-wildcards created k8srequireadmissioncontroller.constraints.gatekeeper.sh/cis-k8s-v1.7.1-require-admission-controller created k8srequirebinauthz.constraints.gatekeeper.sh/cis-k8s-v1.7.1-require-binauthz created k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/cis-k8s-v1.7.1-require-namespace-networkpolicy created k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-automountserviceaccounttoken created k8srestrictnamespaces.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-default-namespace created k8srestrictrolebindings.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-aggregation-controller created k8srestrictrolebindings.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-cluster-admin-role created k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-bind-escalate-impersonate created k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-certificatesigningrequests-approval created k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-nodes-proxy created k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-persistent-volume created k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-pods-create created k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-role-secrets created k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-serviceaccounts-token created k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-webhook-config created
Verifica che i vincoli dei criteri siano stati installati e che se violazioni in tutto il cluster:
kubectl get constraints -l policycontroller.gke.io/bundleName=cis-k8s-v1.7.1
L'output è simile al seguente:
NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-privilege-escalation dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-creation-with-default-serviceaccount dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-role-wildcards dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirebinauthz.constraints.gatekeeper.sh/cis-k8s-v1.7.1-require-binauthz dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequireadmissioncontroller.constraints.gatekeeper.sh/cis-k8s-v1.7.1-require-admission-controller dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspwindowshostprocess.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-windows-hostprocess dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostnetworkingports.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-host-port dryrun 0 k8spsphostnetworkingports.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-hostnetwork dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-automountserviceaccounttoken dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/cis-k8s-v1.7.1-require-securitycontext dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostfilesystem.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-hostpath-volumes dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspprivilegedcontainer.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-privileged-containers dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspseccomp.constraints.gatekeeper.sh/cis-k8s-v1.7.1-require-seccomp-default dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrolebindings.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-aggregation-controller dryrun 0 k8srestrictrolebindings.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-cluster-admin-role dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-bind-escalate-impersonate dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-certificatesigningrequests-approval dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-nodes-proxy dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-persistent-volume dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-pods-create dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-role-secrets dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-serviceaccounts-token dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-webhook-config dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspallowedusers.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-root-containers dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/cis-k8s-v1.7.1-require-namespace-networkpolicy dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8savoiduseofsystemmastersgroup.constraints.gatekeeper.sh/cis-k8s-v1.7.1-avoid-use-of-system-masters-group dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8snoenvvarsecrets.constraints.gatekeeper.sh/cis-k8s-v1.7.1-no-secrets-as-env-vars dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockobjectsoftype.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-secrets-of-type-basic-auth dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostnamespace.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-host-namespace dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictnamespaces.constraints.gatekeeper.sh/cis-k8s-v1.7.1-restrict-default-namespace dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspcapabilities.constraints.gatekeeper.sh/cis-k8s-v1.7.1-psp-capabilities dryrun 0
kpt
Installazione e configurazione kpt. kpt viene utilizzato in queste istruzioni per personalizzare ed eseguire il deployment delle risorse Kubernetes.
Scarica il bundle dei criteri CIS da GitHub utilizzando kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-k8s-v1.7.1
Esegui la funzione kpt
set-enforcement-action
per impostare l'azione di applicazione dei criteri sudryrun
:kpt fn eval cis-k8s-v1.7.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \ -- enforcementAction=dryrun
Inizializza la directory di lavoro con kpt, che crea una risorsa tieni traccia delle modifiche:
cd cis-k8s-v1.7.1 kpt live init
Applica i vincoli dei criteri con kpt:
kpt live apply
Verifica che i vincoli dei criteri siano stati installati e controlla se esistono violazioni nel cluster:
kpt live status --output table --poll-until current
Uno stato
CURRENT
conferma l'installazione corretta delle limitazioni.
Config Sync
- Installazione e configurazione kpt. kpt viene utilizzato in queste istruzioni per personalizzare ed eseguire il deployment delle risorse Kubernetes.
Gli operatori che utilizzano Config Sync per il deployment dei criteri nei propri cluster possono utilizzare segui queste istruzioni:
Passa alla directory di sincronizzazione per Config Sync:
cd SYNC_ROOT_DIR
Per creare o aggiungere
.gitignore
conresourcegroup.yaml
:echo resourcegroup.yaml >> .gitignore
Crea una directory
policies
dedicata:mkdir -p policies
Scarica il pacchetto di criteri CIS Kubernetes 1.7.1 da GitHub utilizzando kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-k8s-v1.7.1 policies/cis-k8s-v1.7.1
Esegui
set-enforcement-action
. kpt per impostare i criteri provvedimento in merito adryrun
:kpt fn eval policies/cis-k8s-v1.7.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
(Facoltativo) Visualizza l'anteprima dei vincoli del criterio da creare:
kpt live init policies/cis-k8s-v1.7.1 kpt live apply --dry-run policies/cis-k8s-v1.7.1
Se la directory di sincronizzazione per Config Sync utilizza Kustomize aggiungi
policies/cis-k8s-v1.7.1
al tuokustomization.yaml
principale. Altrimenti rimuovi il filepolicies/cis-k8s-v1.7.1/kustomization.yaml
:rm SYNC_ROOT_DIR/policies/cis-k8s-v1.7.1/kustomization.yaml
Esegui il push delle modifiche nel repository di Config Sync:
git add SYNC_ROOT_DIR/policies/cis-k8s-v1.7.1 git commit -m 'Adding CIS Kubernetes v1.7.1 policy bundle' git push
Verifica lo stato dell'installazione:
watch gcloud beta container fleet config-management status --project PROJECT_ID
Lo stato
SYNCED
conferma l'installazione dei criteri.
Visualizza le violazioni delle norme
Una volta installati i vincoli dei criteri in modalità di controllo, le violazioni di un cluster può essere visualizzato nell'interfaccia utente Dashboard di Policy Controller.
Puoi anche utilizzare kubectl
per visualizzare le violazioni nel cluster utilizzando quanto segue
:
kubectl get constraint -l policycontroller.gke.io/bundleName=cis-k8s-v1.7.1 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
Se sono presenti violazioni, un elenco dei messaggi di violazione per vincolo possono essere visualizzati con:
kubectl get constraint -l policycontroller.gke.io/bundleName=cis-k8s-v1.7.1 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
Modifica l'azione di applicazione del pacchetto di criteri di Kubernetes CIS v1.7.1
Dopo aver esaminato le violazioni delle norme nel tuo cluster, puoi prendere in considerazione
modifica la modalità di applicazione forzata in modo che il controller di ammissione warn
su
o addirittura deny
, che impediscono che una risorsa non conforme venga applicata al cluster.
kubectl
Utilizza kubectl per impostare provvedimento per
warn
:kubectl get constraint -l policycontroller.gke.io/bundleName=cis-k8s-v1.7.1 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
Verifica che l'azione di applicazione dei vincoli dei criteri sia stata aggiornata:
kubectl get constraints -l policycontroller.gke.io/bundleName=cis-k8s-v1.7.1
kpt
Esegui
set-enforcement-action
. kpt per impostare i criteri provvedimento in merito awarn
:kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Applica i vincoli dei criteri:
kpt live apply
Config Sync
Gli operatori che utilizzano Config Sync per il deployment dei criteri nei propri cluster possono utilizzare segui queste istruzioni:
Passa alla directory di sincronizzazione per Config Sync:
cd SYNC_ROOT_DIR
Esegui
set-enforcement-action
. kpt per impostare i criteri provvedimento in merito awarn
:kpt fn eval policies/cis-k8s-v1.7.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Esegui il push delle modifiche nel repository Config Sync:
git add SYNC_ROOT_DIR/policies/cis-k8s-v1.7.1 git commit -m 'Adding CIS Kubernetes v1.7.1 policy bundle warn enforcement' git push
Verifica lo stato dell'installazione:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Il repository visualizzato nella colonna
SYNCED
conferma che l'installazione dei criteri.
Testa l'applicazione dei criteri
Crea una risorsa non conforme sul cluster utilizzando il seguente comando:
cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
namespace: default
name: wp-non-compliant
labels:
app: wordpress
spec:
containers:
- image: wordpress
name: wordpress
ports:
- containerPort: 80
name: wordpress
EOF
Il controller di ammissione dovrebbe visualizzare un avviso che elenca il criterio violazioni violate da questa risorsa, come mostrato nell'esempio seguente:
Warning: [cis-k8s-v1.7.1-restrict-default-namespace] <default> namespace is restricted Warning: [cis-k8s-v1.7.1-restrict-root-containers] Container wordpress is attempting to run without a required securityContext/runAsNonRoot or securityContext/runAsUser != 0 Warning: [cis-k8s-v1.7.1-restrict-privilege-escalation] Privilege escalation container is not allowed: wordpress Warning: [cis-k8s-v1.7.1-require-seccomp-default] Seccomp profile 'not configured' is not allowed for container 'wordpress'. Found at: no explicit profile found. Allowed profiles: {"RuntimeDefault", "docker/default", "runtime/default"} Warning: [cis-k8s-v1.7.1-psp-capabilities] container <wordpress> is not dropping all required capabilities. Container must drop all of ["NET_RAW"] or "ALL" Warning: [cis-k8s-v1.7.1-require-securitycontext] securityContext must be defined for all Pod containers pod/wp-non-compliant created
Rimuovi il bundle di criteri di Kubernetes CIS v1.7.1
Se necessario, il bundle di criteri di CIS Kubernetes v1.7.1 può essere rimosso dal cluster.
kubectl
Utilizza kubectl per rimuovere i criteri:
kubectl delete constraint -l policycontroller.gke.io/bundleName=cis-k8s-v1.7.1
kpt
Rimuovi i criteri:
kpt live destroy
Config Sync
Gli operatori che utilizzano Config Sync per il deployment dei criteri nei propri cluster possono utilizzare segui queste istruzioni:
Esegui il push delle modifiche nel repository di Config Sync:
git rm -r SYNC_ROOT_DIR/policies/cis-k8s-v1.7.1 git commit -m 'Removing CIS Kubernetes v1.7.1 policy bundle' git push
Verifica lo stato:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Il repository visualizzato nella colonna
SYNCED
conferma la rimozione di i criteri.