檢視次數:
設定檔適用性：級別 1
如果 kube-proxy 正在運行，請確保其 kubeconfig 文件的文件所有權設置為 root:root。
kube-proxy 的 kubeconfig 檔案控制工作節點中 kube-proxy 服務的各種參數。您應設定其檔案擁有權以維護檔案的完整性。該檔案應由 root:root 擁有。
注意
注意
Proxy kubeconfig 檔案的預設所有權是 root:root。

影響

過度寬鬆的檔案存取權限會增加平台的安全風險。

稽核

使用 Google 雲端主控台
  1. 前往Kubernetes 引擎。
  2. 點擊所需的叢集以打開詳細資訊頁面，然後點擊所需的節點池以打開節點池詳細資訊頁面。
  3. 記下所需節點的名稱。
  4. 前往VM 實例。
  5. 尋找所需的節點，然後點擊SSH以開啟與該節點的 SSH 連接。
使用命令列
方法一：SSH 到工作節點
  1. 檢查 Kubelet 服務是否正在運行： 
    sudo systemctl status kubelet
  2. 輸出應返回 Active: active (running) since...。在每個節點上運行以下命令以找到適當的 kubeconfig 文件： 
    ps -ef | grep kubelet
  3. 上述命令的輸出應返回類似於--kubeconfig/var/lib/kubelet/kubeconfig的內容，這是 kubeconfig 文件的 位置資訊。
  4. 執行此命令以獲取 kubeconfig 文件的所有權： 
    stat -c %U:%G /var/lib/kubelet/kubeconfig
  5. 上述命令的輸出會顯示 kubeconfig 文件的所有權。請確認所有權設置為 root:root。
方法二：建立並執行特權 Pod
  1. 透過部署使用 hostPath 卷的 Pod 來運行一個具有足夠權限以存取主機檔案系統的 Pod，將節點的檔案系統掛載到 Pod 中。以下是一個簡單的 Pod 定義範例，將主機的根目錄掛載到 Pod 中的 /host： 
    apiVersion: v1
kind: Pod
metadata:
name: file-check
spec:
volumes:
- name: host-root
hostPath:
path: /
type: Directory
containers:
- name: nsenter
image: busybox
command: ["sleep", "3600"]
volumeMounts:
- name: host-root
mountPath: /host
securityContext:
privileged: true
  2. 將此保存到檔案（例如，file-check-pod.yaml）並建立 Pod： 
    kubectl apply -f file-check-pod.yaml
  3. 一旦 pod 運行，您可以執行進入以檢查節點上的文件所有權： 
    kubectl exec -it file-check -- sh
  4. 現在您在 Pod 的 Shell 中，但您可以透過 /host 目錄存取節點的檔案系統並檢查檔案的所有權： 
    ls -l /host/var/lib/kubelet/kubeconfig
  5. 確認所有權已設定為root:root。

補救

在每個工作節點上執行以下命令（根據您系統上的檔案位置）：
chown root:root <proxy kubeconfig file>