cks-1.32考题

1、修复 kubelet 和 etcd 不安全问题

你必须连接到正确的主机，不这样做可能会导致零分。

[candidate@base] $ ssh cks001091

Context

针对 kubeadm 创建的 cluster 运行 CIS 基准测试工具时，发现了多个必须立即解决的问题。

Task

通过配置修复所有问题并重新启动受影响的组件以确保新的设置生效。

修复针对 kubelet 发现的所有以下违规行为：

1.1.1 确保将 anonymous-auth 参数设置为 false FAIL

1.1.2 确保 --authorization-mode 参数未设置为 AlwaysAllow FAIL

注意：尽可能使用 Webhook 身份验证/授权。

修复针对 etcd 发现的所有以下违规行为：

2.1.1 确保 --client-cert-auth 参数设置为 true FAIL

2、TLS Secret

你必须连接到正确的主机。不这样做可能导致零分

[candidate@base] $ ssh cks000040

Context

您必须使用存储在 TLS Secret 中的 SSL 文件，来保护 Web 服务器的安全访问。

Task

在 clever-cactus namespace 中为名为 clever-cactus 的现有 Deployment 创建名为 clever-cactus 的 TLS Secret 。

使用以下 SSL 文件：

证书 ~/ca-cert/web.k8s.local.crt

密钥 ~/ca-cert/web.k8s.local.key

Deployment 已配置为使用 TLS Secret。

请勿修改现有的 Deployment。

3、Dockerfile 安全最佳实践

你必须连接到正确的主机。不这样做可能导致零分。

[candidate@base] $ ssh cks001094

Task

分析和编辑给定的 Dockerfile /cks/docker/Dockerfile

并修复在文件中拥有的突出的安全/最佳实践问题的一个指令。

分析和编辑给定的清单文件 /cks/docker/deployment.yaml ，

并修复在文件中拥有突出的安全/最佳实践问题的一个字段。

注意：请勿添加或删除配置设置；只需修改现有的配置设置让以上两个配置设置都不再有安全/最佳实践问题。

注意：如果您需要非特权用户来执行任何项目，请使用用户 ID 65535 的用户 nobody 。

4、访问/dev/mem 的 Pod

你必须连接到正确的主机。不这样做可能导致零分。

[candidate@base] $ ssh cks000026

Con