檢視次數:
設定檔適用性：等級 1
Kubernetes API 會儲存秘密，這些秘密可能是 Kubernetes API 的服務帳戶令牌或叢集中工作負載使用的憑證。應限制這些秘密的存取權限至最小的使用者群組，以降低權限升級的風險。
在 Kubernetes 叢集中不當存取儲存的機密可能會讓攻擊者獲得對 Kubernetes 叢集或其憑證以機密形式儲存的外部資源的額外存取權限。
注意
注意
預設情況下，下列主體對秘密物件具有獲取權限： 
CLUSTERROLEBINDING                                          SUBJECT
TYPE                   SA-NAMESPACE
cluster-admin                                                        system:masters
Group
system:controller:clusterrole-aggregation-controller                 clusterroleaggregation-
controller ServiceAccount kube-system
system:controller:expand-controller                                  expand-controller
ServiceAccount kube-system
system:controller:generic-garbage-collector                          generic-garbagecollector
ServiceAccount kube-system
system:controller:namespace-controller                               namespace-controller
ServiceAccount kube-system
system:controller:persistent-volume-binder                           persistent-volumebinder
ServiceAccount kube-system
system:kube-controller-manager                                       system:kube-controllermanager
User

影響

應注意不要移除系統元件運行所需的機密存取權限。

稽核

檢視在 Kubernetes API 中擁有 get、list 或 watch 存取 secrets 物件的使用者。

補救

在可能的情況下，移除對叢集中secret物件的get、list和watch存取權限。