檢視次數:
設定檔適用性：等級 1 - 主節點
Kubernetes API 存儲秘密，這些秘密可能是 Kubernetes API 的服務帳戶令牌或集群中工作負載使用的憑證。應將對這些秘密的訪問限制在最小範圍的使用者群體，以降低權限升級的風險。
在 Kubernetes 叢集中不當存取儲存的機密可能使攻擊者獲得對 Kubernetes 叢集或其憑證以機密形式儲存的外部資源的額外存取權限。
注意
注意
在 kubeadm 叢集中，預設情況下，以下主體列表對 secret 物件具有 get 權限。 
CLUSTERROLEBINDING                                SUBJECT
TYPE                          SA-NAMESPACE
cluster-admin                                              system:masters
Group
system:controller:clusterrole-aggregation-controller       clusterroleaggregation-
controller ServiceAccount kube-system
system:controller:expand-controller                        expand-controller
ServiceAccount kube-system
system:controller:generic-garbage-collector                generic-garbagecollector
ServiceAccount kube-system
system:controller:namespace-controller                     namespace-controller
ServiceAccount kube-system
system:controller:persistent-volume-binder                 persistent-volumebinder
ServiceAccount kube-system
system:kube-controller-manager                             system:kube-controllermanager
User

影響

應注意不要移除系統元件對於其運作所需的機密存取權限。

稽核

檢閱在 Kubernetes API 中對 secrets 物件具有 get、list 或 watch 存取權限的使用者。

補救

在可能的情況下，透過移除取得、列出和監視的權限來限制對叢集中機密物件的存取。