k8s_Node节点安全基线

k8s Node节点安全基线

访问控制

1.高危-确保–anonymous-auth参数设置为false

描述:
启用后，未被其他配置的身份验证方法拒绝的请求将被视为匿名请求。 然后，这些请求由Kubelet服务器处理。 您应该依靠身份验证来授权访问并禁止匿名请求

加固建议:
在每个节点上编辑<kubelet_config>文件，并将KUBELET_ARGS参数设置为
--anonymous-auth = false

2.高危-确保 --make-iptables-util-chains 参数设置为 true

描述:
允许 Kubelet 管理 iptables。
Kubelets 可以根据您为 pod 选择网络选项的方式自动管理对 iptables 的所需更改。 建议让 kubelets 管理对 iptables 的更改。 这确保 iptables 配置与 pods 网络配置保持同步。 使用动态 pod 网络配置更改手动配置 iptables 可能会妨碍 pod/容器与外部世界之间的通信。 您的 iptables 规则可能过于严格或过于开放。
影响：Kubelet 将管理系统上的 iptables 并保持同步。
如果您正在使用任何其他 iptables 管理解决方案，那么可能会有一些冲突（如业务冲突，确保功能完整的情况下考虑加白处理）。

加固建议:
如果使用 Kubelet 配置文件，请编辑该文件（/var/lib/kubelet/config.yaml&#