Ensure that the healthz endpoint is protected by RBAC

CaoCấp 1Xem xét thủ côngopenshift

Mô tả

Disable profiling, if not needed. The benchmark marks this recommendation Manual.

Cách kiểm tra

Phương pháp kiểm tra: Xem xét thủ công

Khuyến nghị này không thể kiểm tra tự động. Lần quét sẽ liệt kê mục này kèm hướng dẫn khi bạn truyền cờ --include-manual.

Profiling is enabled by default in OpenShift. The API server operators expose Prometheus metrics via the metrics service. Profiling data is sent to healthzPort, the port of the localhost healthz endpoint. Changing this value may disrupt components that monitor the kubelet health. The default port value is 10248, and the healthz BindAddress is 127.0.0.1 To ensure the collected data is not exploited, profiling endpoints are exposed at each master port and secured via RBAC (see cluster-debugger role).

Cách khắc phục

Phương pháp khắc phục: Hướng dẫn hoặc bản vá hạ tầng

Create an RBAC service account

Thuộc tính

Hệ điều hành: Bất kỳ
Thẻ: openshiftapi-serverrbacnetwork
Tham chiếu: CIS Red Hat OpenShift Container Platform Benchmark v2.0.0 - 1.2.17 Ensure that the healthz endpoint is protected by RBAC