kube bench

Kube-Bench เป็นเครื่องมือที่ตรวจสอบว่า Kubernetes ถูกปรับใช้อย่างปลอดภัยโดยเรียกใช้การตรวจสอบที่บันทึกไว้ในมาตรฐาน CIS Kubernetes หรือไม่

การทดสอบได้รับการกำหนดค่าด้วยไฟล์ YAML ทำให้เครื่องมือนี้ง่ายต่อการอัปเดตเมื่อข้อมูลจำเพาะการทดสอบพัฒนาขึ้น

การสแกน CIS เป็นส่วนหนึ่งของ Trivy และ Trivy Operator

Trivy สแกนเนอร์ความปลอดภัยดั้งเดิมของคลาวด์ทั้งหมดสามารถปรับใช้เป็นตัวดำเนินการ Kubernetes ภายในคลัสเตอร์ ทั้งสอง Trivy CLI และผู้ให้บริการ Trivy รองรับการสแกนเกณฑ์มาตรฐาน Cis Kubernetes ท่ามกลางคุณสมบัติอื่น ๆ อีกมากมาย

เริ่มต้นอย่างรวดเร็ว

มีหลายวิธีในการเรียกใช้ kube-bench คุณสามารถเรียกใช้ Kube-bench ภายในพ็อด แต่จะต้องเข้าถึงเนมสเปซ PID ของโฮสต์เพื่อตรวจสอบกระบวนการที่กำลังทำงานรวมถึงการเข้าถึงไดเรกทอรีบางอย่างบนโฮสต์ที่มีการจัดเก็บไฟล์ config และไฟล์อื่น ๆ

ไฟล์ job.yaml ที่ให้มาสามารถใช้เพื่อเรียกใช้การทดสอบเป็นงาน ตัวอย่างเช่น:

$ kubectl apply -f job.yaml
job.batch/kube-bench created

$ kubectl get pods
NAME                      READY   STATUS              RESTARTS   AGE
kube-bench-j76s9   0/1     ContainerCreating   0          3s

# Wait for a few seconds for the job to complete
$ kubectl get pods
NAME                      READY   STATUS      RESTARTS   AGE
kube-bench-j76s9   0/1     Completed   0          11s

# The results are held in the pod's logs
kubectl logs kube-bench-j76s9
[INFO] 1 Master Node Security Configuration
[INFO] 1.1 API Server
...

สำหรับข้อมูลเพิ่มเติมและวิธีการต่าง ๆ ในการเรียกใช้ Kube-Bench ดูเอกสารประกอบ

โปรดทราบ

1. Kube-Bench ใช้เกณฑ์มาตรฐาน CIS Kubernetes อย่างใกล้ชิดที่สุด โปรดยกประเด็นที่นี่หาก Kube-bench ไม่ได้ดำเนินการทดสอบอย่างถูกต้องตามที่อธิบายไว้ในเกณฑ์มาตรฐาน ในการรายงานปัญหาในเกณฑ์มาตรฐาน (ตัวอย่างเช่นการทดสอบที่คุณเชื่อว่าไม่เหมาะสม) โปรดเข้าร่วมชุมชน CIS

2. ไม่มีการทำแผนที่แบบหนึ่งต่อหนึ่งระหว่างการเผยแพร่ของ Kubernetes และการเผยแพร่เกณฑ์มาตรฐาน CIS ดูการสนับสนุนมาตรฐาน CIS Kubernetes เพื่อดูว่าการเผยแพร่ Kubernetes ใดถูกปกคลุมด้วยเกณฑ์มาตรฐานที่แตกต่างกัน

โดยค่าเริ่มต้น Kube-Bench จะกำหนดชุดทดสอบให้ทำงานตามรุ่น Kubernetes ที่ทำงานบนเครื่อง

• ดูเอกสารประกอบต่อไปนี้เกี่ยวกับการเรียกใช้ Kube-Bench สำหรับรายละเอียดเพิ่มเติม

การบริจาค

กรุณาอ่านมีส่วนร่วมก่อนที่จะมีส่วนร่วม เรายินดีต้อนรับ PRS และออกรายงาน

แผนงาน

ในอนาคตเราวางแผนที่จะปล่อยการอัปเดตไปยัง Kube-Bench เพื่อเพิ่มการสนับสนุนสำหรับรุ่นใหม่ของเกณฑ์มาตรฐาน CIS โปรดทราบว่าสิ่งเหล่านี้ไม่ได้ถูกปล่อยออกมาบ่อยเท่าที่ Kubernetes เผยแพร่