CKS1.28【1】kube-bench 修复不安全项

本文介绍: 1.2.18 Ensure that the –insecure-bind-address argument is not set FAIL （v1.28 考题中这项没给出，但最好也检查一下）针对 kubeadm 创建的 cluster 运行 CIS 基准测试工具时，发现了多个必须立即解决的问题。修改完成后，等待 5 分钟，再检查一下所有 pod，确保模拟环境里的所有 pod 都正常。通过配置修复所有问题并重新启动受影响的组件以确保新的设置生效。2、修改api-server。3、修改kubelet。

参考资料：

https://kubernetes.io/zh/docs/reference/config-api/kubelet-config.v1beta1/

答题：

1、切换到 Master 的 root 下

ssh master01
sudo -i

#备份配置文件
cp /etc/kubernetes/manifests/kube-apiserver.yaml /tmp
vim /etc/kubernetes/manifests/kube-apiserver.yaml
#修改、添加、删除相关内容
#修改 authorization-mode，注意 Node 和 RBAC 之间的符号是英文状态的逗号，而不是点。
 - --authorization-mode=Node,RBAC
#删除 insecure-bind-address。实际考试中，有可能本来就没写这行。
 - --insecure-bind-address=0.0.0.0

cp /var/lib/kubelet/config.yaml /tmp
vim /var/lib/kubelet/config.yaml
#修改
apiVersion: kubelet.config.k8s.io/v1beta1
authentication:
  anonymous: #修改 anonymous 下的，将 true 改为 false
    enabled: false #将 true 改为 false
  webhook:
    cacheTTL: 0s
    enabled: true #修改为 true。注意，这两个 enabled 千万不要搞混，anonymous 应该为 false，webhook 应该为 true。考试时，可能只有一个是错误的。
  x509:
    clientCAFile: /etc/kubernetes/pki/ca.crt
authorization: #修改 authorization 下的
  mode: Webhook #改为 Webhook
  webhook:
......

cp /etc/kubernetes/manifests/etcd.yaml /tmp
vim /etc/kubernetes/manifests/etcd.yaml
修改
 - --client-cert-auth=true #修改为 true

#编辑完后重新加载配置文件，并重启 kubelet
systemctl daemon-reload
systemctl restart kubelet

kubectl get pod -A

显示所有内容

声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。

相关文章

发表回复 取消回复

发表回复取消回复