Ensure membership of the lxd group is limited to administrators

HochStufe 1Manuelle Prüfunglxd

Beschreibung

Members of the lxd group can talk to the LXD unix socket and therefore create privileged containers that mount the host filesystem; membership is equivalent to root. Group membership is site policy, so this is a review item.

So wird geprüft

Prüfmethode: Manuelle Prüfung

Diese Empfehlung kann nicht automatisch geprüft werden. Ein Scan führt sie mit diesen Anweisungen auf, wenn Sie --include-manual übergeben.

Run "getent group lxd" and confirm every listed user is an authorised host administrator. Also review "lxc config trust list" for unexpected client certificates and enable restricted certificates or projects for non-admin users.

So wird behoben

Behebungsmethode: Anleitung oder Infrastruktur-Patch

gpasswd -d <user> lxd for unauthorised members; remove unexpected certificates with lxc config trust remove <fingerprint>; give limited users a restricted project (lxc config trust add --restricted --projects <p>).

Eigenschaften

Betriebssysteme: Beliebig
Tags: lxdcontainersaccess-control
Referenz: CIS-style LXD hardening guidance - Restrict access to the LXD socket (no CIS benchmark section; verify against your hardening standard)