ビュー:
プロファイル適用性: レベル2
kubeletクライアント証明書のローテーションを有効にする。
--rotate-certificates設定は、kubeletが既存の認証情報の有効期限が切れると新しいCSRを作成してクライアント証明書をローテーションするようにします。この自動的な定期ローテーションにより、証明書の有効期限切れによるダウンタイムが発生せず、CIA (機密性、完全性、可用性) セキュリティの三位一体における可用性に対処します。
この推奨事項は、kubeletがAPIサーバから証明書を取得する場合にのみ適用されます。kubeletの証明書が外部の認証機関/ツール (例: Vault) から取得される場合は、自分でローテーションを実装する必要があります。
この機能を使用するには、RotateKubeletClientCertificate機能ゲートを有効にする必要があります。
注意
注意
AKSのドキュメントでデフォルト値を確認してください。

監査

Audit Method 1
  1. 各ノードにSSHで接続し、次のコマンドを実行してKubeletプロセスを見つけてください。
    ps -ef | grep kubelet
  2. 出力に--RotateCertificate実行可能引数が含まれている場合、それがtrueに設定されていることを確認してください。
    出力に--RotateCertificate実行可能な引数が含まれていない場合、Kubelet設定ファイルを確認してください。上記のコマンドの出力は、Kubelet設定ファイルの場所である--config /etc/kubernetes/kubelet/kubelet-config.jsonに類似したものを返すはずです。
  3. Kubelet設定ファイルを開く:
    cat /etc/kubernetes/kubelet/kubelet-config.json
  4. RotateCertificate引数が存在しないか、trueに設定されていることを確認してください。

修復

Remediation Method 1
Kubeletの設定ファイルを変更する場合、kubelet-config.jsonファイル/etc/kubernetes/kubelet/kubelet-config.jsonを編集し、以下のパラメータをtrueに設定してください。
"RotateCertificate":true
さらに、kubeletサービスファイル/etc/systemd/system/kubelet.service.d/10-kubelet-args.confが--RotateCertificate実行引数をfalseに設定しないようにしてください。これはKubelet設定ファイルを上書きしてしまうためです。
Remediation Method 2
実行可能な引数を使用する場合、各ワーカーノードの kubelet サービスファイル /etc/systemd/system/kubelet.service.d/10-kubelet-args.conf を編集し、KUBELET_ARGS 変数文字列の末尾に以下のパラメータを追加してください。
--RotateCertificate=true