CKS 試験問題 26
このタスクは、次のクラスター/ノードで完了する必要があります。 クラスター: immutable-cluster マスターノード: master1 ワーカーノード: worker1 次のコマンドを使用して、クラスター/構成コンテキストを切り替えることができます: [desk@cli] $ kubectl config use-context immutable-cluster コンテキスト: コンテナをステートレスかつ不変に設計することがベストプラクティスです。 タスク: 名前空間 prod で実行されているポッドを検査し、ステートレスまたは不変でないポッドを削除します。 ステートレスと不変については、次の厳密な解釈を使用します。 1. コンテナ内にデータを保存できるポッドは、ステートレスではないものとして扱う必要があります。 注: データが実際にコンテナ内に保存されているかどうかを心配する必要はありません。 2. 何らかの方法で特権が設定されるポッドは、潜在的にステートレスまたは不変ではないものとして扱う必要があります。
CKS 試験問題 27
名前空間テストに、ingress および egress トラフィックのすべてのトラフィックを拒否する deny-all という名前の新しい NetworkPolicy を作成します。
CKS 試験問題 28
制限された名前空間内のボリューム タイプとして persistentvolumeclaim のみを許可する PSP を作成します。
prevent-volume-policy という名前の新しい PodSecurityPolicy を作成し、persistentvolumeclaim とは別に異なるボリュームがマウントされるポッドを防止します。
制限された名前空間に、psp-sa という名前の新しい ServiceAccount を作成します。
新しく作成したポッドセキュリティポリシー prevent-volume-policy を使用する、psp-role という名前の新しい ClusterRole を作成します。
作成された ClusterRole psp-role を作成された SA psp-sa にバインドする、psp-role-binding という名前の新しい ClusterRoleBinding を作成します。
ヒント：
また、ポッド マニフェストでシークレットをマウントしようとして、構成が機能しているかどうかを確認します。失敗するはずです。
PODマニフェスト:
APIバージョン: v1
種類: ポッド
メタデータ:
名前：
仕様:
コンテナ:
- 名前：
画像：
ボリュームマウント:
- 名前：
マウントパス:
ボリューム:
- 名前：
秘密：
シークレット名:
prevent-volume-policy という名前の新しい PodSecurityPolicy を作成し、persistentvolumeclaim とは別に異なるボリュームがマウントされるポッドを防止します。
制限された名前空間に、psp-sa という名前の新しい ServiceAccount を作成します。
新しく作成したポッドセキュリティポリシー prevent-volume-policy を使用する、psp-role という名前の新しい ClusterRole を作成します。
作成された ClusterRole psp-role を作成された SA psp-sa にバインドする、psp-role-binding という名前の新しい ClusterRoleBinding を作成します。
ヒント：
また、ポッド マニフェストでシークレットをマウントしようとして、構成が機能しているかどうかを確認します。失敗するはずです。
PODマニフェスト:
APIバージョン: v1
種類: ポッド
メタデータ:
名前：
仕様:
コンテナ:
- 名前：
画像：
ボリュームマウント:
- 名前：
マウントパス:
ボリューム:
- 名前：
秘密：
シークレット名:
CKS 試験問題 29
次のコマンドを使用して、クラスター/構成コンテキストを切り替えることができます: [desk@cli] $ kubectl config use-context dev コンテキスト: kubeadm で作成されたクラスターに対して CIS ベンチマーク ツールを実行し、対処する必要がある複数の問題が見つかりました。タスク: 構成を介してすべての問題を修正し、影響を受けるコンポーネントを再起動して、新しい設定が有効になるようにします。 API サーバーに対して見つかった次の違反をすべて修正します: 1.2.7 authorization-mode 引数が AlwaysAllow に設定されていない FAIL 1.2.8 authorization-mode 引数に Node が含まれている FAIL 1.2.7 authorization-mode 引数に RBAC が含まれている FAIL Kubelet に対して見つかった次の違反をすべて修正します: 4.2.1 anonymous-auth 引数が false に設定されていることを確認します FAIL 4.2.2 authorization-mode 引数が AlwaysAllow に設定されていない FAIL (可能な場合は Webhook autumn/authz を使用します) etcd に対して見つかった次の違反をすべて修正します: 2.2 client-cert-auth 引数が true に設定されていることを確認します
CKS 試験問題 30
指定されたDockerfileを分析して編集する
ubuntu:latestから
apt-get update -yを実行します
apt-install nginx -yを実行します
コピー entrypoint.sh /
エントリポイント ["/entrypoint.sh"]
ユーザールート
ファイル内に存在する2つの命令を修正することは、セキュリティのベストプラクティスの重要な問題です。デプロイメントマニフェストファイルを分析して編集します。apiVersion: v1 kind: Pod metadata:
名前: セキュリティ コンテキスト デモ 2
仕様:
セキュリティコンテキスト:
実行ユーザー: 1000
コンテナ:
- 名前: sec-ctx-demo-2
画像: gcr.io/google-samples/node-hello:1.0
セキュリティコンテキスト:
実行ユーザー: 0
特権: 本当
権限昇格を許可: false
ファイル内に存在する2つのフィールドを修正することは、セキュリティのベストプラクティスの重要な問題です。構成設定を追加または削除しないでください。既存の構成設定のみを変更します。いずれかのタスクで権限のないユーザーが必要な場合は、ユーザーID 5487のユーザー test-user を使用します。
ubuntu:latestから
apt-get update -yを実行します
apt-install nginx -yを実行します
コピー entrypoint.sh /
エントリポイント ["/entrypoint.sh"]
ユーザールート
ファイル内に存在する2つの命令を修正することは、セキュリティのベストプラクティスの重要な問題です。デプロイメントマニフェストファイルを分析して編集します。apiVersion: v1 kind: Pod metadata:
名前: セキュリティ コンテキスト デモ 2
仕様:
セキュリティコンテキスト:
実行ユーザー: 1000
コンテナ:
- 名前: sec-ctx-demo-2
画像: gcr.io/google-samples/node-hello:1.0
セキュリティコンテキスト:
実行ユーザー: 0
特権: 本当
権限昇格を許可: false
ファイル内に存在する2つのフィールドを修正することは、セキュリティのベストプラクティスの重要な問題です。構成設定を追加または削除しないでください。既存の構成設定のみを変更します。いずれかのタスクで権限のないユーザーが必要な場合は、ユーザーID 5487のユーザー test-user を使用します。
