ビュー:
プロファイル適用性: レベル1 - クラスター / コントロールプレーン
名前空間でポッドを作成する能力は、これらのポッドに特権サービスアカウントを割り当てたり、機密データへのアクセスを持つhostPathsをマウントしたりするなど、特権昇格の機会を提供する可能性があります (このアクセスを制限するためにPodセキュリティポリシーが実施されていない限り)。
したがって、新しいポッドを作成するアクセスは可能な限り最小のユーザグループに制限する必要があります。
クラスター内でポッドを作成する能力は、特権昇格の可能性を広げるため、可能な限り制限する必要があります。
注意
注意
デフォルトでは、以下のプリンシパルのリストがpodオブジェクトに対するcreate権限を持っています。 
CLUSTERROLEBINDING                                                  SUBJECT
TYPE                          SA-NAMESPACE
cluster-admin                                                                system:masters
Group
system:controller:clusterrole-aggregation-controller                         clusterroleaggregation-
controller ServiceAccount kube-system
system:controller:daemon-set-controller                                      daemon-set-controller
ServiceAccount kube-system
system:controller:job-controller                                             job-controller
ServiceAccount kube-system
system:controller:persistent-volume-binder                                   persistent-volumebinder
ServiceAccount kube-system
system:controller:replicaset-controller                                      replicaset-controller
ServiceAccount kube-system
system:controller:replication-controller                                     replication-controller
ServiceAccount kube-system
system:controller:statefulset-controller                                     statefulset-controller
ServiceAccount kube-system

影響

システムコンポーネントが動作に必要とするポッドへのアクセスを削除しないよう注意してください。

監査

Kubernetes APIでポッドオブジェクトの作成権限を持つユーザを確認してください。

修復

可能であれば、クラスター内のpodオブジェクトへのcreateアクセスを削除してください。