Ensure membership of the lxd group is limited to administrators

高レベル 1手動レビューlxd

説明

Members of the lxd group can talk to the LXD unix socket and therefore create privileged containers that mount the host filesystem; membership is equivalent to root. Group membership is site policy, so this is a review item.

チェック方法

監査方法: 手動レビュー

この推奨事項は自動ではチェックできません。--include-manual を指定すると、スキャン結果にこの手順付きで一覧表示されます。

Run "getent group lxd" and confirm every listed user is an authorised host administrator. Also review "lxc config trust list" for unexpected client certificates and enable restricted certificates or projects for non-admin users.

修正方法

修正方法: ガイダンスまたは IaC パッチ

gpasswd -d <user> lxd for unauthorised members; remove unexpected certificates with lxc config trust remove <fingerprint>; give limited users a restricted project (lxc config trust add --restricted --projects <p>).

プロパティ

オペレーティングシステム: すべて
タグ: lxdcontainersaccess-control
参照: CIS-style LXD hardening guidance - Restrict access to the LXD socket (no CIS benchmark section; verify against your hardening standard)