Ensure that TLS CA certificate file permissions are set to 444 or more restrictively

高レベル 1自動docker

説明

The TLS CA certificate file must have mode 444 or more restrictive. The path is taken from --tlscacert on the dockerd command line or "tlscacert" in /etc/docker/daemon.json (default /root/.docker/ca.pem); compliant when no such file exists (TLS not configured).

チェック方法

監査方法: シェルコマンド

shell

args=$(ps -eo args 2>/dev/null) || exit 1; s=$(printf '%s\n' "$args" | grep '[d]ockerd'; cat /etc/docker/daemon.json 2>/dev/null); p=$(printf '%s\n' "$s" | sed -n -e 's/.*--tlscacert[= ]\([^ ]*\).*/\1/p' -e 's/.*"tlscacert"[[:space:]]*:[[:space:]]*"\([^"]*\)".*/\1/p' | head -n 1); [ -n "$p" ] || p=/root/.docker/ca.pem; [ -e "$p" ] || { echo compliant; exit 0; }; out=$(find "$p" -maxdepth 0 -perm /7333) || exit 1; [ -z "$out" ] && echo compliant || echo "$p"

期待される出力: compliant

修正方法

修正方法: ガイダンスまたは IaC パッチ

chmod 444 <path of the tlscacert file> (as configured for dockerd).

プロパティ

オペレーティングシステム: すべて
タグ: dockerpermissionstls
参照: CIS Docker Benchmark v1.9.0 - 3.10 Ensure that TLS CA certificate file permissions are set to 444 or more restrictively

このホストをチェック

監査が許可されているマシンで実行してください。スキャンは読み取り専用です。

shell

tmaegis scan --target docker