3.1.4 - kubelet構成ファイルの所有権がroot:rootに設定されていることを確認する (自動化済み)

ビュー:

プロファイル適用性: レベル1

kubeletが--config引数で設定ファイルを参照する場合、そのファイルはroot:rootが所有していることを確認してください。

kubeletは、--config引数で指定された設定ファイルからセキュリティ設定を含むさまざまなパラメータを読み取ります。このファイルが指定されている場合、ファイルの整合性を維持するためにファイルのアクセス許可を制限する必要があります。ファイルはシステムの管理者のみが書き込み可能であるべきです。

注意

デフォルト値についてはAWS EKSのドキュメントを参照してください。

監査

方法1

まず、関連するワーカーノードにSSHします。
Kubeletサービスが実行されているか確認するために、次のコマンドを入力してください。
```
sudo systemctl status kubelet
```
出力はActive: active (running) since..を返す必要があります。
各ノードで次のコマンドを実行して、適切なKubelet設定ファイルを見つけてください。
```
ps -ef | grep kubelet
```
出力は、Kubeletの設定ファイルの場所である--config /etc/kubernetes/kubelet/config.jsonに似たものを返す必要があります。
次のコマンドを実行します。
```
stat -c %U:%G /etc/kubernetes/kubelet/config.json
```
上記のコマンドの出力はKubelet設定ファイルの所有権です。
所有権がroot:rootに設定されていることを確認してください。

方法2

特権ポッドを作成して実行する

ホストのファイルシステムにアクセスするために十分な権限を持つポッドを実行します。これを行うには、hostPathボリュームを使用してノードのファイルシステムをポッドにマウントするポッドをデプロイします。

ホストのルートをポッド内の/hostにマウントするシンプルなポッド定義の例:
```
apiVersion: v1
kind: Pod
metadata:
  name: file-check
spec:
  volumes:
  - name: host-root
    hostPath:
      path: /
      type: Directory
  containers:
  - name: nsenter
    image: busybox
    command: ["sleep", "3600"]
    volumeMounts:
    - name: host-root
      mountPath: /host
    securityContext:
      privileged: true
```
これをファイル (例: file-check-pod.yaml) に保存し、ポッドを作成してください。
```
kubectl apply -f file-check-pod.yaml
```
ポッドが稼働したら、ノード上のファイル所有権を確認するためにexecでアクセスしてください。
```
kubectl exec -it file-check -- sh
```
現在、Pod内のシェルにいますが、/hostディレクトリを通じてノードのファイルシステムにアクセスし、ファイルの所有権を確認できます。
```
ls -l /host/etc/kubernetes/kubelet/config.json
```
所有権がroot:rootに設定されていることを確認してください。

修復

監査手順で特定された設定ファイルの場所を使用して、次のコマンドを実行してください。

chown root:root /etc/kubernetes/kubelet/config.json