3.1.1 - kubeconfigファイルの権限が644以上の制限に設定されていることを確認してください (自動化済み)

監査

1. ワーカーノードにSSHで接続します。
2. Kubeletサービスが実行中かどうかを確認するには、次のコマンドを入力してください。

   sudo systemctl status kubelet

   出力はActive: active (running)を返す必要があります。
3. 各ノードで次のコマンドを実行して、適切なkubeconfigファイルを見つけてください。

   ps -ef | grep kubelet

   出力は、kubeconfigファイルの場所を示す--kubeconfig /var/lib/kubelet/kubeconfigに類似したものを返す必要があります。
4. このコマンドを実行してkubeconfigファイルの権限を取得してください:

   stat -c %a /var/lib/kubelet/kubeconfig

5. ファイルが指定されていて存在する場合、パーミッションが644またはそれよりも制限されていることを確認してください。

1. ホストのファイルシステムにアクセスするために十分な特権を持つポッドを実行します。これを行うには、hostPathボリュームを使用してノードのファイルシステムをポッドにマウントするポッドをデプロイします。
   ホストのルートをポッド内の/hostにマウントするシンプルなポッド定義の例:

          apiVersion: v1
          kind: Pod
          metadata:
          name: file-check
          spec:
          volumes:
          - name: host-root
          hostPath:
          path: /
          type: Directory
          containers:
          - name: nsenter
          image: busybox
          command: ["sleep", "3600"]
          volumeMounts:
          - name: host-root
          mountPath: /host
          securityContext:
          privileged: true
         

2. これをファイル (例: file-check-pod.yaml) に保存し、ポッドを作成してください。

   kubectl apply -f file-check-pod.yaml

3. ポッドが実行されたら、ノード上のファイル権限を確認するためにexecでアクセスしてください。

   kubectl exec -it file-check -- sh

4. 現在、ポッド内のシェルにいますが、/hostディレクトリを通じてノードのファイルシステムにアクセスし、ファイルの権限レベルを確認できます。

   ls -l /host/var/lib/kubelet/kubeconfig

5. ファイルが指定されていて存在する場合、パーミッションが644またはそれよりも制限されていることを確認してください。

修復

chmod 644 <kubeconfig file>