Restrict access to cross datavolumes cloning

Trung bìnhCấp 1Xem xét thủ côngopenshift-virt

Mô tả

Datavolume cross-namespace cloning allows cloning a datavolume from one namespace to another, breaking the namespace isolation. The benchmark marks this recommendation Manual; TMAegis reports it as a manual review item with the audit steps.

Cách kiểm tra

Phương pháp kiểm tra: Xem xét thủ công

Khuyến nghị này không thể kiểm tra tự động. Lần quét sẽ liệt kê mục này kèm hướng dẫn khi bạn truyền cờ --include-manual.

To check which role bindings have the ability to clone across namespaces, use the following command where to list all the rolebinding and verify which one has a ClusterRole which enables it to operate on data volumes and have bound a service account in another namespace . Ensure that the destination namespace is a desired one. $ oc get rolebinding - n <source - namespace> <allow - clone - to - user> - oyaml Output will be in the following format: apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: <role - binding - name> namespace: <source namespace> subjects: - kind: ServiceAccount name: default namespace: <destination namespace> roleRef: kind: ClusterRole name: ...

Cách khắc phục

Phương pháp khắc phục: Hướng dẫn hoặc bản vá hạ tầng

Remove any rolebinding resources that grant unintended access across namespaces. Please refer to the latest OpenShift documentation for details on this process.

Thuộc tính

Hệ điều hành: Bất kỳ
Thẻ: openshift-virtmanual-review
Tham chiếu: CIS Red Hat OpenShift Virtual Machine Extension Benchmark v1.0.0 - 3.1 Restrict access to cross datavolumes cloning