目前的所有題目為2024年10月后更新的最新題庫，考試的k8s版本為1.31.1

? 專欄其他文章:

• [CKS] K8S Admission Set Up
• [CKS] CIS基準測試，修復(fù)kubelet和etcd不安全項
• [CKS] K8S NetworkPolicy Set Up
• [CKS] 利用Trivy對image進行掃描
• [CKS] 利用falco進行容器日志捕捉和安全監(jiān)控
• [CKS] Audit Log Policy
• [CKS] Create/Read/Mount a Secret in K8S
• [CKS] K8S Dockerfile和yaml文件安全檢測
• [CKS] K8S RuntimeClass SetUp
• [CKS] TLS Secrets創(chuàng)建與掛載
• [CKS] falco掃描發(fā)現(xiàn)訪問指定文件pod
• [CKS] 使用ingress公開https服務(wù)
• [CKS] bom工具生成SPDX文檔
• [CKS] 執(zhí)行Pod安全標準
• [CKS] Docker守護進程
• [CKS]啟用apiserver身份驗證

BackGround

針對 kubeadm創(chuàng)建的 cluster運行CIS基準測試工具時，發(fā)現(xiàn)了多個必須立即解決的問題。

Task

通過配置修復(fù)所有問題并重新啟動受影響的組件以確保新的設(shè)置生效。

• 修復(fù)針對kubelet發(fā)現(xiàn)的所有以下違規(guī)行為：
  • 1.1.1 確保將 anonymous-auth 參數(shù)設(shè)置為 false FAIL
  • 1.1.2 確保 --authorization-mode 參數(shù)未設(shè)置為 AlwaysAllow FAIL

注意：盡可能使用Webhook身份驗證/授權(quán)。

• 修復(fù)針對etcd發(fā)現(xiàn)的所有以下違規(guī)行為：
  • 2.1.1 確保 --client-cert-auth 參數(shù)設(shè)置為 true FAIL

Practice

Step 1: 切換到考試環(huán)境（通過ssh命令）考試的時候會給出來

Step 2: 修復(fù)kubelet不安全項目

• 1. 首先我們需要明確的是kubelet的配置文件所在位置為/var/lib/kubelet/config.yaml，這時我們就需要對kubelet的配置文件做出以下修改:

...
authentication:anonymous:enabled: falsewebhook:cacheTTL: 0senabled: true
...
authorization:mode: Webhookwebhook:cacheAuthorizedTTL: 0scacheUnauthorizedTTL: 0s

主要是對authentication.anonymous.enabled字段修改為false，authentication.webhook.enabled字段修改為true，authorization.mode.mode修改為Webhook

Step 3: 修復(fù)etcd不安全項目

1. 首先我們需要明確的是etcd的配置文件所在位置為/etc/kubernetes/manifests/etcd.yaml ，所以我們需要對etcd的文件內(nèi)容做出如下的更改

...
spec:containers:- command:...- --client-cert-auth=true...

就是將client-cert-auth字段設(shè)置為true

Step 4: 重啟kubelet

systemctl daemon-reload 
systemctl restart kubelet 

驗證

大家可以使用kubectl get pod -A來進行驗證，如果所有pod都啟動成功了，則代表這個題目你做正確了