プロファイル適用性: レベル2
ユーザ
system:anonymousを使用したClusterRoleBindingsまたはRoleBindingsを避けてください。Kubernetesは認証情報が提供されていないAPIサーバリクエストに対してユーザ
system:anonymousを割り当てます。ユーザsystem:anonymousにロールをバインドすると、認証されていないユーザにそのロールによって付与された権限が与えられるため、強く推奨されません。 |
注意ユーザ
system:anonymousに関連するclusterrolebindingsもrolebindingsもありません。 |
影響
認証されていないユーザは、設定されたバインディングに関連付けられたロールに関連する特権と権限を持ちます。
clusterrolebindingsやrolebindingsを環境から削除する前に、それらがクラスタの運用に必要でなかったことを確認する必要があります。クラスタ操作には、より具体的で認証されたユーザを使用してください。監査
CusterRoleBindingsとRoleBindingsの両方を監査する必要があります。次のコマンドを使用して、
system:anonymousへのClusterRoleBindingsがないことを確認してください:$ kubectl get clusterrolebindings -o json | jq -r '["Name"], ["-----"], (.items[] | select((.subjects | length) > 0) | select(any(.subjects[]; .name == "system:anonymous")) | [.metadata.namespace, .metadata.name]) | @tsv'
ClusterRoleBindingsは表示されないはずです。バインディングが存在する場合は、次のコマンドでその権限を確認し、特権を再評価してください。
$ kubectl get clusterrolebinding [CLUSTER_ROLE_BINDING_NAME] -o json \ | jq ' .roleRef.name +" " + .roleRef.kind' \ | sed -e 's/"//g' \ | xargs -l bash -c 'kubectl get $1 $0 -o yaml'
system:anonymousユーザを含むRoleBindingsがないことを確認してください。$ kubectl get rolebindings -A -o json | jq -r '["Namespace", "Name"], ["----- ----", "-----"], (.items[] | select((.subjects | length) > 0) | select(any(.subjects[]; .name == "system:anonymous")) | [.metadata.namespace, .metadata.name]) | @tsv'
RoleBindingsは一覧表示されていないはずです。バインディングが存在する場合は、次のコマンドでその権限を確認し、特権を再評価してください。
$ kubectl get rolebinding [ROLE_BINDING_NAME] --namespace [ROLE_BINDING_NAMESPACE] -o json \ | jq ' .roleRef.name +" " + .roleRef.kind' \ | sed -e 's/"//g' \ | xargs -l bash -c 'kubectl get $1 $0 -o yaml --namespace [ROLE_BINDING_NAMESPACE]'
修復
system:anonymousユーザに対するすべてのclusterrolebindingsとrolebindingsを特定します。それらが使用されているかどうかを確認し、上記の監査セクションのコマンドを使用するか、GKEドキュメントを参照してバインディングに関連する権限をレビューします。認証されたユーザ定義のグループに置き換えることを強く検討してください。可能な場合は、最小特権ロールを持つ非デフォルトのユーザ定義グループにバインドしてください。
ユーザ
system:anonymousへの安全でないバインディングがある場合は、必要かつ安全なバインディングのみでクラスタ操作を考慮した後に削除してください。kubectl delete clusterrolebinding [CLUSTER_ROLE_BINDING_NAME] kubectl delete rolebinding [ROLE_BINDING_NAME] --namespace [ROLE_BINDING_NAMESPACE]