3.1.2 - プロキシkubeconfigファイルの所有権がroot:rootに設定されていることを確認する (自動化済み)

ビュー:

プロファイル適用性: レベル1

kube-proxyが実行されている場合、そのkubeconfigファイルの所有者がroot:rootに設定されていることを確認してください。

kube-proxyのkubeconfigファイルは、ワーカーノード内のkube-proxyサービスの様々なパラメータを制御します。ファイルの整合性を維持するために、そのファイルの所有権を設定する必要があります。ファイルはroot:rootによって所有されるべきです。

プロキシkubeconfigファイルのデフォルト所有者はroot:rootです。

過度に許可されたファイルアクセスは、プラットフォームのセキュリティリスクを高めます。

Google Cloudコンソールを使用する

コマンドラインの使用

方法1: ワーカーノードにSSH接続

Kubeletサービスが実行されているか確認するには:
```
sudo systemctl status kubelet
```
出力はActive: active (running) since...と返される必要があります。各ノードで次のコマンドを実行して、適切なkubeconfigファイルを見つけてください。
```
ps -ef | grep kubelet
```
上記のコマンドの出力は、kubeconfigファイルの場所である--kubeconfig/var/lib/kubelet/kubeconfigに類似したものを返すはずです。
このコマンドを実行してkubeconfigファイルの所有権を取得してください。
```
stat -c %U:%G /var/lib/kubelet/kubeconfig
```
上記のコマンドの出力は、kubeconfigファイルの所有権を示します。所有権がroot:rootに設定されていることを確認してください。

方法2: 特権ポッドを作成して実行する

ホストのファイルシステムにアクセスするために十分な特権を持つポッドを実行するには、hostPathボリュームを使用してノードのファイルシステムをポッドにマウントするポッドをデプロイします。以下は、ホストのルートをポッド内の/hostにマウントするシンプルなポッド定義の例です。
```
apiVersion: v1
kind: Pod
metadata:
name: file-check
spec:
volumes:
- name: host-root
hostPath:
path: /
type: Directory
containers:
- name: nsenter
image: busybox
command: ["sleep", "3600"]
volumeMounts:
- name: host-root
mountPath: /host
securityContext:
privileged: true
```
これをファイル (例: file-check-pod.yaml) に保存し、ポッドを作成してください。
```
kubectl apply -f file-check-pod.yaml
```
ポッドが稼働したら、ノード上のファイル所有権を確認するためにexecでアクセスできます。
```
kubectl exec -it file-check -- sh
```
現在、ポッド内のシェルにいますが、/hostディレクトリを通じてノードのファイルシステムにアクセスし、ファイルの所有権を確認できます。
```
ls -l /host/var/lib/kubelet/kubeconfig
```
所有権がroot:rootに設定されていることを確認してください。

各ワーカーノードで、システム上のファイルの場所に基づいて以下のコマンドを実行してください。

chown root:root <proxy kubeconfig file>