ビュー:
プロファイル適用性: レベル1 - マスターノード
名前空間でポッドを作成する能力は、これらのポッドに特権サービスアカウントを割り当てたり、機密データへのアクセスを持つhostPathをマウントしたりするなど、特権昇格の機会を提供する可能性があります (Podセキュリティポリシーがこのアクセスを制限するために実装されていない限り)。
したがって、新しいポッドを作成するアクセスは可能な限り少数のユーザに制限する必要があります。
クラスター内でポッドを作成する能力は、特権昇格の可能性を広げるため、可能な限り制限する必要があります。
注意
注意
デフォルトでは、kubeadmクラスター内の次のプリンシパルがpodオブジェクトに対してcreate権限を持っています。 
CLUSTERROLEBINDING                                SUBJECT
TYPE                             SA-NAMESPACE
cluster-admin                                              system:masters
Group
system:controller:clusterrole-aggregation-controller       clusterroleaggregation-
controller ServiceAccount kube-system
system:controller:daemon-set-controller                    daemon-set-controller
ServiceAccount kube-system
system:controller:job-controller                           job-controller
ServiceAccount kube-system
system:controller:persistent-volume-binder                 persistent-volumebinder
ServiceAccount kube-system
system:controller:replicaset-controller                    replicaset-controller
ServiceAccount kube-system
system:controller:replication-controller                   replication-controller
ServiceAccount kube-system
system:controller:statefulset-controller                   statefulset-controller
ServiceAccount kube-system

影響

システムコンポーネントが動作に必要とするポッドへのアクセスを削除しないよう注意してください。

監査

Kubernetes APIでポッドオブジェクトの作成権限を持つユーザを確認してください。

修復

可能であれば、クラスター内のpodオブジェクトへのcreateアクセスを削除してください。