API サーバーに対して見つかった次の違反をすべて修正します。RotateKubeletServerCertificate 引数が true に設定されていることを確認します。
APIバージョン: v1
種類: ポッド
メタデータ:
作成タイムスタンプ: null
ラベル:
コンポーネント: kubelet
層: コントロールプレーン
名前: キュベレット
名前空間: kube-system
仕様:
コンテナ:
- 指図：
- kube-コントローラー-マネージャー
+ - --feature-gates=RotateKubeletServerCertificate=true
画像: gcr.io/google_containers/kubelet-amd64:v1.6.0
livenessProbe:
失敗しきい値: 8
httpGet:
ホスト: 127.0.0.1
パス: /healthz
ポート: 6443
スキーム: HTTPS
初期遅延秒: 15
タイムアウト秒: 15
名前: キュベレット
資力：
リクエスト：
CPU: 250m
ボリュームマウント:
- マウントパス: /etc/kubernetes/
名前：k8s
読み取り専用: true
- マウントパス: /etc/ssl/certs
名前: 証明書
- マウントパス: /etc/pki
名前：ぴき
ホストネットワーク: true
ボリューム:
- ホストパス:
パス: /etc/kubernetes
名前：k8s
- ホストパス:
パス: /etc/ssl/certs
名前: 証明書
- ホストパス:
パス: /etc/pki
名前：ぴき
b. アドミッション コントロール プラグイン PodSecurityPolicy が設定されていることを確認します。
監査: "/bin/ps -ef | grep $apiserverbin | grep -v grep"
テスト:
テスト項目:
- フラグ: "--enable-admission-plugins"
比較：
操作: あります
値: "PodSecurityPolicy"
設定: true
修復: |
ドキュメントに従って、環境に応じてポッド セキュリティ ポリシー オブジェクトを作成します。
次に、API サーバー ポッド仕様ファイル $apiserverconf を編集します。
マスターノード上で --enable-admission-plugins パラメータを PodSecurityPolicy を含む値に設定します。
--enable-admission-plugins=...,PodSecurityPolicy,...
次に、API サーバーを再起動します。
得点: 本当
c. --kubelet-certificate-authority 引数が適切に設定されていることを確認してください。
監査: "/bin/ps -ef | grep $apiserverbin | grep -v grep"
テスト:
テスト項目:
- フラグ: "--kubelet-certificate-authority"
設定: true
修復: |
Kubernetes のドキュメントに従って、apiserver と kubelet 間の TLS 接続をセットアップします。次に、API サーバーのポッド仕様ファイルを編集します。
マスター ノードで $apiserverconf を開き、 --kubelet-certificate-authority パラメーターを認証局の証明書ファイルへのパスに設定します。
--kubelet-certificate-authority=<ca-string>
得点: 本当
ETCD に対して見つかった次の違反をすべて修正します。-
ａ．--auto-tls 引数が true に設定されていないことを確認してください。
マスターノード上の etcd ポッド仕様ファイル $etcdconf を編集し、 --auto-tls パラメーターを削除するか、 false に設定します。b. --auto-tls=false b. --peer-auto-tls 引数が true に設定されていないことを確認します。マスターノードで etcd ポッド仕様ファイル $etcdconf を編集し、--peer-auto-tls パラメータを削除するか、false に設定します。--peer-auto-tls=false

サービス アカウントは、ポッド内で実行されるプロセスの ID を提供します。
あなた (人間) が (たとえば、kubectl を使用して) クラスターにアクセスすると、apiserver によって特定のユーザー アカウントとして認証されます (現在、クラスター管理者がクラスターをカスタマイズしていない限り、これは通常 admin です)。ポッド内のコンテナ内のプロセスも API サーバーに接続できます。その場合、特定のサービス アカウント (デフォルトなど) として認証されます。
ポッドを作成するときにサービス アカウントを指定しない場合、同じ名前空間内のデフォルトのサービス アカウントが自動的に割り当てられます。作成したポッドの生の json または yaml を取得すると (たとえば、kubectl get pods/<podname> -o yaml)、spec.serviceAccountName フィールドが自動的に設定されていることがわかります。
「クラスターへのアクセス」で説明されているように、自動的にマウントされたサービス アカウント資格情報を使用して、ポッド内から API にアクセスできます。サービス アカウントの API 権限は、使用されている認可プラグインとポリシーによって異なります。
バージョン 1.6 以降では、サービス アカウントに automountServiceAccountToken: false を設定することで、サービス アカウントの API 資格情報の自動マウントをオプトアウトできます。
APIバージョン: v1
種類: サービスアカウント
メタデータ:
名前: ビルドロボット
automountServiceAccountToken: false
...
バージョン 1.6 以降では、特定のポッドの API 認証情報の自動マウントをオプトアウトすることもできます。
APIバージョン: v1
種類: ポッド
メタデータ:
名前: 私のポッド
仕様:
サービスアカウント名: build-robot
automountServiceAccountToken: false
...
両方で automountServiceAccountToken 値が指定されている場合、ポッド仕様はサービス アカウントよりも優先されます。