[2025-01-13更新,41問] 無料Linux Foundation CKS試験問題集、CKSオンライン試験(ページ 8)

CKS 試験問題 31

指定されたDockerfileを分析して編集する
ubuntu:latestから
apt-get update -yを実行します
apt-install nginx -yを実行します
コピー entrypoint.sh /
エントリポイント ["/entrypoint.sh"]
ユーザールート
ファイル内に存在する2つの命令を修正することは、セキュリティのベストプラクティスの重要な問題です。デプロイメントマニフェストファイルを分析して編集します。apiVersion: v1 kind: Pod metadata:
名前: セキュリティコンテキストデモ 2
仕様:
セキュリティコンテキスト:
実行ユーザー: 1000
コンテナ:
- 名前: sec-ctx-demo-2
画像: gcr.io/google-samples/node-hello:1.0
セキュリティコンテキスト:
実行ユーザー: 0
特権: 本当
権限昇格を許可: false
ファイル内に存在する2つのフィールドを修正することは、セキュリティのベストプラクティスの重要な問題です。構成設定を追加または削除しないでください。既存の構成設定のみを変更します。いずれかのタスクで権限のないユーザーが必要な場合は、ユーザーID 5487のユーザー test-user を使用します。

CKS 試験問題 32

クラスターワーカーノードで、準備したAppArmorプロファイルを適用します。
#include <調整可能/グローバル>
プロファイル nginx-deny flags=(attach_disconnected) {
#include <抽象/ベース>
ファイル、
# すべてのファイル書き込みを拒否します。
/** を拒否します。
}
EOF'

CKS 試験問題 33

構成を介してすべての問題を修正し、影響を受けるコンポーネントを再起動して、新しい設定が有効になるようにします。
API サーバーに対して見つかった次の違反をすべて修正します:- a. --authorization-mode 引数に RBAC が含まれていることを確認します b. --authorization-mode 引数に Node が含まれていることを確認します c. --profiling 引数が false に設定されていることを確認します Kubelet に対して見つかった次の違反をすべて修正します:- a. --anonymous-auth 引数が false に設定されていることを確認します。
b. --authorization-mode 引数が Webhook に設定されていることを確認します。
ETCD に対して見つかった以下の違反をすべて修正します:-
a. --auto-tls引数がtrueに設定されていないことを確認する
ヒント: ツールKube-Benchを使用する

正解:

API サーバー:
--authorization-mode 引数に RBAC が含まれていることを確認する
ロールベースアクセス制御をオンにします。ロールベースアクセス制御 (RBAC) を使用すると、クラスター内のさまざまなオブジェクトに対してさまざまなエンティティが実行できる操作をきめ細かく制御できます。RBAC 認証モードを使用することをお勧めします。
修正 - ビルドタイム
クベネフィット
APIバージョン: v1
種類: ポッド
メタデータ:
作成タイムスタンプ: null
ラベル:
コンポーネント: kube-apiserver
層: コントロールプレーン
名前: kube-apiserver
名前空間: kube-system
仕様:
コンテナ:
- 指示：
+ - APIサーバーへ
+ - --authorization-mode=RBAC、ノード
イメージ: gcr.io/google_containers/kube-apiserver-amd64:v1.6.0
活性プローブ:
失敗しきい値: 8
httpGet:
ホスト: 127.0.0.1
パス: /healthz
ポート: 6443
スキーム: HTTPS
初期遅延秒数: 15
タイムアウト秒数: 15
名前: kube-apiserver-should-pass
リソース：
リクエスト:
CPU: 250m
ボリュームマウント:
- マウントパス: /etc/kubernetes/
名前: k8s
読み取り専用: true
- マウントパス: /etc/ssl/certs
名前: 証明書
- マウントパス: /etc/pki
名前: pki
ホストネットワーク: true
ボリューム:
- ホストパス:
パス: /etc/kubernetes
名前: k8s
- ホストパス:
パス: /etc/ssl/certs
名前: 証明書
- ホストパス:
パス: /etc/pki
名前: pki
--authorization-mode引数にNodeが含まれていることを確認する
修正方法: マスターノード上の API サーバーポッド仕様ファイル /etc/kubernetes/manifests/kube-apiserver.yaml を編集し、--authorization-mode パラメータを Node を含む値に設定します。
--authorization-mode=ノード、RBAC
監査：
/bin/ps -ef | grep kube-apiserver | grep -v grep
期待される結果:
「ノード、RBAC」には「ノード」があります
--profiling引数がfalseに設定されていることを確認します
修正方法: マスターノード上の API サーバーポッド仕様ファイル /etc/kubernetes/manifests/kube-apiserver.yaml を編集し、以下のパラメータを設定します。
--プロファイリング=false
監査：
/bin/ps -ef | grep kube-apiserver | grep -v grep
期待される結果:
「偽」は「偽」に等しい
Kubelet に対して見つかった次の違反をすべて修正します:- --anonymous-auth 引数が false に設定されていることを確認します。
修正方法: Kubelet 構成ファイルを使用している場合は、ファイルを編集して authentication: anonymous: enabled を false に設定します。実行可能引数を使用している場合は、各ワーカーノードの kubelet サービスファイル /etc/systemd/system/kubelet.service.d/10-kubeadm.conf を編集し、KUBELET_SYSTEM_PODS_ARGS 変数に以下のパラメーターを設定します。
--匿名認証=偽
システムに応じて、kubelet サービスを再起動します。例:
systemctlデーモンリロード
systemctl kubelet.service を再起動します。
監査：
/bin/ps -fC クベレット
監査設定:
/bin/cat /var/lib/kubelet/config.yaml
期待される結果:
「偽」は「偽」に等しい
2) --authorization-mode 引数が Webhook に設定されていることを確認します。
監査
docker examine kubelet | jq -e '.[0].Args[] | match("--authorization-mode=Webhook").string' 戻り値: --authorization-mode=Webhook ETCD に対して見つかった次の違反をすべて修正します:- a. --auto-tls 引数が true に設定されていないことを確認します TLS には自己署名証明書を使用しないでください。etcd は、Kubernetes デプロイメントによってすべての REST API オブジェクトの永続的なストレージとして使用される、可用性の高いキー値ストアです。これらのオブジェクトは本質的に機密性が高いため、認証されていないクライアントが利用できないようにする必要があります。etcd サービスへのアクセスを保護するには、有効な証明書によるクライアント認証を有効にする必要があります。
修正 - ビルドタイム
クベネフィット
APIバージョン: v1
種類: ポッド
メタデータ:
注釈:
スケジューラー.alpha.kubernetes.io/critical-pod: ""
作成タイムスタンプ: null
ラベル:
コンポーネント: etcd
層: コントロールプレーン
名前: etcd
名前空間: kube-system
仕様:
コンテナ:
- 指示：
+ - など
+ - --auto-tls=true
イメージ: k8s.gcr.io/etcd-amd64:3.2.18
imagePullPolicy: IfNotPresent
活性プローブ:
実行:
指示：
- /bin/sh
- -ec
- ETCDCTL_API=3 etcdctl --endpoints=https://[192.168.22.9]:2379 --cacert=/etc/kubernetes/pki/etcd/ca.crt
--cert=/etc/kubernetes/pki/etcd/healthcheck-client.crt --key=/etc/kubernetes/pki/etcd/healthcheck-client.key get foo failureThreshold: 8 initialDelaySeconds: 15 timeoutSeconds: 15 name: etcd-should-fail resources: {} volumeMounts:
- マウントパス: /var/lib/etcd
名前: etcd-data
- マウントパス: /etc/kubernetes/pki/etcd
名前: etcd-certs
ホストネットワーク: true
優先度クラス名: システムクラスタクリティカル
ボリューム:
- ホストパス:
パス: /var/lib/etcd
タイプ: ディレクトリまたは作成
名前: etcd-data
- ホストパス:
パス: /etc/kubernetes/pki/etcd
タイプ: ディレクトリまたは作成
名前: etcd-certs
状態： {}
Explanation:

CKS 試験問題 34

シミュレーション
クラスタで監査ログを有効にするには、ログバックエンドを有効にし、
1. ログは /var/log/kubernetes-logs.txt に保存されます。
2. ログファイルは 12 日間保持されます。
3. 最大で 8 個の古い監査ログファイルが保持されます。
4. 回転する前の最大サイズを200MBに設定する
ログに記録するための基本ポリシーを編集および拡張します。
1. RequestResponseでの名前空間の変更
2. 名前空間 kube-system のシークレットの変更のリクエスト本文をログに記録します。
3. コアと拡張機能内の他のすべてのリソースをリクエストレベルでログに記録します。
4. メタデータレベルで「pods/portforward」、「services/proxy」をログに記録します。
5.ステージRequestReceivedを省略する
メタデータレベルのその他のすべてのリクエスト

正解:

Kubernetes 監査は、クラスターに関するセキュリティ関連の時系列の記録セットを提供します。監査は Kube-apiserver が実行します。実行の各ステージの各リクエストはイベントを生成し、特定のポリシーに従って事前処理されてバックエンドに書き込まれます。ポリシーによって記録内容が決定され、バックエンドによって記録が保持されます。
CIS (Center for Internet Security) Kubernetes ベンチマークコントロールへの準拠の一環として、監査ログを構成する必要がある場合があります。
cluster.yml の次の構成を使用して、監査ログをデフォルトで有効にすることができます。
サービス:
kube-API:
監査ログ:
有効: true
監査ログが有効になっている場合は、/etc/kubernetes/audit-policy.yaml でデフォルト値を確認できるはずです。ログバックエンドは、監査イベントを JSONlines 形式でファイルに書き込みます。次の kube-apiserver フラグを使用して、ログ監査バックエンドを構成できます。
--audit-log-path は、ログバックエンドが監査イベントを書き込むために使用するログファイルパスを指定します。このフラグを指定しないと、ログバックエンドが無効になります。 - は標準出力を意味します
--audit-log-maxage は古い監査ログファイルを保持する最大日数を定義します
--audit-log-maxbackup は保持する監査ログファイルの最大数を定義します
--audit-log-maxsize は、監査ログファイルがローテーションされる前の最大サイズをメガバイト単位で定義します。クラスターのコントロールプレーンが kube-apiserver を Pod として実行する場合は、監査レコードが保持されるように、ポリシーファイルとログファイルの場所に hostPath をマウントすることを忘れないでください。例:
--audit-policy-file=/etc/kubernetes/audit-policy.yaml \
--audit-log-path=/var/log/audit.log

CKS 試験問題 35

シミュレーション
名前空間テストで実行されているポッド nginx-test に制限する restrict-np という名前のネットワークポリシーを作成します。
次の Pod のみが Pod nginx-test に接続できるようにします:-
1. 名前空間のポッドデフォルト
2. 任意の名前空間内のラベル version:v1 を持つポッド。
必ずネットワークポリシーを適用してください。