Restrict VNC access to cluster workloads

MittelStufe 1Manuelle Prüfungopenshift-virt

Beschreibung

Access to each workload’s virtual screen is provided via VNC. Permission to use VNC is granted via a role, which means users with role assigned can access the VNC console of all workloads in a namespace. The benchmark marks this recommendation Manual; TMAegis reports it as a manual review item with the audit steps.

So wird geprüft

Prüfmethode: Manuelle Prüfung

Diese Empfehlung kann nicht automatisch geprüft werden. Ein Scan führt sie mit diesen Anweisungen auf, wenn Sie --include-manual übergeben.

Verify to which users have the necessary permissions to create tokens: $ oc get rolebinding - ojson | jq - c '.items[] | select(.roleRef.name | contains("token.kubevirt.io:generate"))'

So wird behoben

Behebungsmethode: Anleitung oder Infrastruktur-Patch

Assign this RoleBinding only to users with approval to use it, otherwise remove unapproved users.

Eigenschaften

Betriebssysteme: Beliebig
Tags: openshift-virtmanual-review
Referenz: CIS Red Hat OpenShift Virtual Machine Extension Benchmark v1.0.0 - 1.12 Restrict VNC access to cluster workloads