3.1.1 - kubeconfigファイルの権限が644以上の制限に設定されていることを確認してください (自動化済み)

影響

監査

1. Kubeletサービスが実行されているか確認するために、次のコマンドを入力してください。

   sudo systemctl status kubelet

   出力はActive: active (running) since..を返す必要があります。
2. 各ノードで次のコマンドを実行して、適切なkubeconfigファイルを見つけてください。

   ps -ef | grep kubelet

   出力は、kubeconfigファイルの場所である--kubeconfig /var/lib/kubelet/kubeconfigに類似したものを返す必要があります。
3. このコマンドを実行してkubeconfigファイルの権限を取得してください。

   stat -c %a /var/lib/kubelet/kubeconfig

4. ファイルが指定されていて存在する場合、パーミッションが644以上に制限されていることを確認してください。

1. ホストのファイルシステムにアクセスするために十分な権限を持つポッドを実行します。これを行うには、hostPathボリュームを使用してノードのファイルシステムをポッドにマウントするポッドをデプロイします。
   ホストのルートをポッド内の/hostにマウントするシンプルなポッド定義の例:

   apiVersion: v1
   kind: Pod
   metadata:
     name: file-check
   spec:
     volumes:
     - name: host-root
       hostPath:
         path: /
         type: Directory
     containers:
     - name: nsenter
       image: busybox
       command: ["sleep", "3600"]
       volumeMounts:
       - name: host-root
         mountPath: /host
       securityContext:
         privileged: true

2. これをファイル (例: file-check-pod.yaml) に保存し、ポッドを作成してください。

   kubectl apply -f file-check-pod.yaml

3. ポッドが稼働したら、ノード上のファイル権限を確認するためにexecでアクセスしてください。

   kubectl exec -it file-check -- sh

4. 現在、Pod内のシェルにいますが、/hostディレクトリを通じてノードのファイルシステムにアクセスし、ファイルの権限レベルを確認できます。

   ls -l /host/var/lib/kubelet/kubeconfig

5. ファイルが指定されていて存在する場合、パーミッションが644以上に制限されていることを確認してください。

修復

chmod 644 <kubeconfig file>