CKS 試験問題 16
変更を加える前に、タグbase:v1でDockerfileをビルドします。
指定された Dockerfile を分析して編集します (ubuntu 16:04 に基づく)
ファイル内に存在する、セキュリティの観点からのチェックとサイズの削減の 2 つの命令を修正します。
Dockerファイル:
ubuntu:latestから
apt-get update -yを実行します
apt install nginx -yを実行します
コピー entrypoint.sh /
useradd ubuntuを実行します
エントリポイント ["/entrypoint.sh"]
ユーザー無料
エントリポイント
#!/bin/bash
echo "CKSからこんにちは"
Dockerfileを修正したら、タグbase:v2でdocker-imageをビルドします。
指定された Dockerfile を分析して編集します (ubuntu 16:04 に基づく)
ファイル内に存在する、セキュリティの観点からのチェックとサイズの削減の 2 つの命令を修正します。
Dockerファイル:
ubuntu:latestから
apt-get update -yを実行します
apt install nginx -yを実行します
コピー entrypoint.sh /
useradd ubuntuを実行します
エントリポイント ["/entrypoint.sh"]
ユーザー無料
エントリポイント
#!/bin/bash
echo "CKSからこんにちは"
Dockerfileを修正したら、タグbase:v2でdocker-imageをビルドします。
CKS 試験問題 17
制限された名前空間内のボリューム タイプとして persistentvolumeclaim のみを許可する PSP を作成します。
prevent-volume-policy という名前の新しい PodSecurityPolicy を作成し、persistentvolumeclaim とは別に異なるボリュームがマウントされるポッドを防止します。
制限された名前空間に、psp-sa という名前の新しい ServiceAccount を作成します。
新しく作成された Pod セキュリティ ポリシー prevent-volume-policy を使用する、psp-role という名前の新しい ClusterRole を作成します。作成された ClusterRole psp-role を作成された SA psp-sa にバインドする、psp-role-binding という名前の新しい ClusterRoleBinding を作成します。
ヒント：
また、ポッド マニフェストでシークレットをマウントしようとして、構成が機能しているかどうかを確認します。失敗するはずです。
PODマニフェスト:
APIバージョン: v1
種類: ポッド
メタデータ:
名前：
仕様:
コンテナ:
- 名前：
画像：
ボリュームマウント:
- 名前：
マウントパス:
ボリューム:
- 名前：
秘密：
シークレットネーム:
prevent-volume-policy という名前の新しい PodSecurityPolicy を作成し、persistentvolumeclaim とは別に異なるボリュームがマウントされるポッドを防止します。
制限された名前空間に、psp-sa という名前の新しい ServiceAccount を作成します。
新しく作成された Pod セキュリティ ポリシー prevent-volume-policy を使用する、psp-role という名前の新しい ClusterRole を作成します。作成された ClusterRole psp-role を作成された SA psp-sa にバインドする、psp-role-binding という名前の新しい ClusterRoleBinding を作成します。
ヒント：
また、ポッド マニフェストでシークレットをマウントしようとして、構成が機能しているかどうかを確認します。失敗するはずです。
PODマニフェスト:
APIバージョン: v1
種類: ポッド
メタデータ:
名前：
仕様:
コンテナ:
- 名前：
画像：
ボリュームマウント:
- 名前：
マウントパス:
ボリューム:
- 名前：
秘密：
シークレットネーム:
CKS 試験問題 18
次のコマンドを使用して、クラスター/構成コンテキストを切り替えることができます。
[desk@cli] $ kubectl config 使用コンテキスト prod-account
コンテクスト：
Pod の ServiceAccount にバインドされたロールは、過度に許可された権限を付与します。権限セットを減らすには、次のタスクを完了してください。
タスク：
名前空間データベースで実行されている web-pod という名前の既存の Pod があるとします。
1. Pod の ServiceAccount test-sa にバインドされている既存のロールを編集して、Pod タイプのリソースに対してのみ get 操作の実行を許可します。
2. 名前空間データベースに test-role-2 という名前の新しいロールを作成します。このロールでは、statuefulsets タイプのリソースに対してのみ更新操作を実行できます。
3. 新しく作成した Role を Pod の ServiceAccount にバインドする、test-role-2-bind という名前の新しい RoleBinding を作成します。
注意: 既存の RoleBinding を削除しないでください。
[desk@cli] $ kubectl config 使用コンテキスト prod-account
コンテクスト：
Pod の ServiceAccount にバインドされたロールは、過度に許可された権限を付与します。権限セットを減らすには、次のタスクを完了してください。
タスク：
名前空間データベースで実行されている web-pod という名前の既存の Pod があるとします。
1. Pod の ServiceAccount test-sa にバインドされている既存のロールを編集して、Pod タイプのリソースに対してのみ get 操作の実行を許可します。
2. 名前空間データベースに test-role-2 という名前の新しいロールを作成します。このロールでは、statuefulsets タイプのリソースに対してのみ更新操作を実行できます。
3. 新しく作成した Role を Pod の ServiceAccount にバインドする、test-role-2-bind という名前の新しい RoleBinding を作成します。
注意: 既存の RoleBinding を削除しないでください。
CKS 試験問題 19
名前空間 test-system で実行されている test-web-pod という名前の既存の Pod がある場合、sa-backend という名前の Pod のサービス アカウントにバインドされている既存のロールを編集して、エンドポイントで get 操作のみを実行できるようにします。
名前空間 test-system に、statefulsets タイプのリソースに対してパッチ操作を実行できる、test-system-role-2 という名前の新しいロールを作成します。
名前空間 test-system に、statefulsets タイプのリソースに対してパッチ操作を実行できる、test-system-role-2 という名前の新しいロールを作成します。
CKS 試験問題 20
john という名前のユーザーを作成し、CSR リクエストを作成し、承認後にユーザーの証明書を取得します。
名前空間 john 内のシークレットとポッドを一覧表示するロール名 john-role を作成します。
最後に、john-role-binding という名前の RoleBinding を作成し、新しく作成したロール john-role を名前空間 john のユーザー john にアタッチします。確認するには: kubectl auth CLI コマンドを使用して権限を確認します。
名前空間 john 内のシークレットとポッドを一覧表示するロール名 john-role を作成します。
最後に、john-role-binding という名前の RoleBinding を作成し、新しく作成したロール john-role を名前空間 john のユーザー john にアタッチします。確認するには: kubectl auth CLI コマンドを使用して権限を確認します。
