보안 컨텍스트(Container Security Context)
문제에서 
Context

기존 Pod을 업데이트하여 컨테이너의 불변성을 보장해야 한다.

Task

`sec-ns` 네임스페이스에 있는 `secdep`이라는 Deployment를 수정하여, 그 안의 컨테이너가 다음 조건을 만족하도록 하라:

- 사용자 ID 30000으로 실행
- 루트 파일 시스템을 읽기 전용으로 설정
- 권한 상승(Privilege Escalation) 금지

Deployment 매니페스트 파일은 `~/sec-ns_deployment.yaml`에 있다.

답안 
candidate@master01:~$ kubectl get -f sec-ns_deployment.yaml
NAME     READY   UP-TO-DATE   AVAILABLE   AGE
secdep   1/1     1            1           134d
candidate@master01:~$ vim sec-ns_deployment.yaml
kind: Deployment
metadata:
  name: secdep
  namespace: sec-ns
spec:
  replicas: 1
  selector:
    matchLabels:
      app: secdep
  template:
    metadata:
      labels:
        app: secdep
    spec:
      containers:
      - name: sec-ctx-demo-1
        image: busybox:1.28
        imagePullPolicy: IfNotPresent
        command: [ "sh", "-c", "sleep 12h" ]
        securityContext:                        # 제목 요구사항에 따라 보안 컨텍스트 추가
          allowPrivilegeEscalation: false       # 권한 상승 금지
          readOnlyRootFilesystem: true          # 루트 파일 시스템 읽기 전용
          runAsUser: 30000                      # 사용자 ID 30000 사용
        volumeMounts:
        - name: sec-ctx-vol-1
          mountPath: /data/demo1
      - name: sec-ctx-demo-2
        image: busybox
        imagePullPolicy: IfNotPresent
        command: [ "sh", "-c", "sleep 12h" ]
        securityContext:                        # 제목 요구사항에 따라 보안 컨텍스트 추가
          allowPrivilegeEscalation: false       # 권한 상승 금지
          readOnlyRootFilesystem: true          # 루트 파일 시스템 읽기 전용
          runAsUser: 30000                      # 사용자 ID 30000 사용
        volumeMounts:
        - name: sec-ctx-vol-2
          mountPath: /data/demo2
      volumes:
        - name: sec-ctx-vol-1
          emptyDir: {}
        - name: sec-ctx-vol-2
          emptyDir: {}
candidate@master01:~$ kubectl apply -f sec-ns_deployment.yaml
deployment.apps/secdep configured
candidate@master01:~$
candidate@master01:~$ kubectl -n sec-ns get pod
NAME                      READY   STATUS        RESTARTS        AGE
secdep-697685948b-krg2k   2/2     Running       0               21s
secdep-7478777cc8-5546d   2/2     Terminating   16 (3h1m ago)   134d
candidate@master01:~$ exit

감사 로그 문제 예제는 
Context
	너는 kubeadm으로 구성된 클러스터에 대해 감사를 구현해야 한다.
Task
	먼저, 클러스터의 API 서버를 다음과 같이 재구성하라:
⚫ `/etc/kubernetes/logpolicy/sample-policy.yaml`의 기본 감사 정책을 사용한다
⚫ 로그를 `/var/log/kubernetes/audit-logs.txt`에 저장한다
⚫ 최대 2개의 로그를 보관하며, 보관 기간은 10일이다
주의: 기본 정책은 기록하지 않을 항목만 지정한다.

그런 다음, 기본 정책을 편집하고 확장하여 다음을 기록하라:
⚫ persistentvolumes 이벤트를 RequestResponse 수준으로 기록
⚫ `front-apps` 네임스페이스의 `configmaps` 이벤트의 요청 본문 기록
⚫ 모든 네임스페이스에서 `ConfigMap`과 `Secret` 변경을 Metadata 수준으로 기록
⚫ 기타 모든 요청을 Metadata 수준으로 기록
주의: API 서버가 확장된 정책을 사용하도록 보장하라.

답 
1. 정책편집 
root@master01:~# cp /etc/kubernetes/logpolicy/sample-policy.yaml /opt/
root@master01:~# vim /etc/kubernetes/logpolicy/sample-policy.yaml
root@master01:~# cat /etc/kubernetes/logpolicy/sample-policy.yaml
apiVersion: audit.k8s.io/v1
kind: Policy
omitStages:
  - "RequestReceived"
rules:
  # 엔드포인트나 서비스에서 "system:kube-proxy"가 수행하는 watch 요청은 기록하지 않음
  - level: None
    users: ["system:kube-proxy"]
    verbs: ["watch"]
    resources:
    - group: "" # 코어 API 그룹
      resources: ["endpoints", "services"]

  # 특정 non-resource URL 경로에 대한 인증된 요청은 기록하지 않음
  - level: None
    userGroups: ["system:authenticated"]
    nonResourceURLs:
    - "/api*" # 와일드카드 매칭
    - "/version"


# 위의 기존 규칙은 삭제하지 말고, 아래에 문제에서 요구한 규칙만 추가하십시오.
  # RequestResponse 수준의 persistentvolumes 이벤트
  - level: RequestResponse
    resources:
    - group: ""
      resources: ["persistentvolumes"]
  # front-apps 네임스페이스의 configmaps 이벤트 요청 본문
  - level: Request
    resources:
    - group: ""
      resources: ["configmaps"]
    namespaces: ["front-apps"]
  # 모든 네임스페이스에서 ConfigMap과 Secret 변경을 Metadata 수준으로 기록
  - level: Metadata
    resources:
    - group: ""
      resources: ["secrets", "configmaps"]
  # 기타 모든 요청을 Metadata 수준으로 기록
  - level: Metadata
    omitStages:
      - "RequestReceived"

2. api 편집
root@master01:~# cp /etc/kubernetes/manifests/kube-apiserver.yaml /opt/
root@master01:~# vim /etc/kubernetes/manifests/kube-apiserver.yaml
apiVersion: v1
kind: Pod
metadata:
  annotations:
    kubeadm.kubernetes.io/kube-apiserver.advertise-address.endpoint: 11.0.1.111:6443
  creationTimestamp: null
  labels:
    component: kube-apiserver
    tier: control-plane
  name: kube-apiserver
  namespace: kube-system
spec:
  containers:
  - command:
    - kube-apiserver
    - --advertise-address=11.0.1.111
    - --allow-privileged=true
    - --authorization-mode=Node,RBAC
    - --audit-policy-file=/etc/kubernetes/logpolicy/sample-policy.yaml  # 감사 정책
    - --audit-log-path=/var/log/kubernetes/audit-logs.txt               # 로그 저장 경로
    - --audit-log-maxbackup=2                                           # 로그 최대 백업 수
    - --audit-log-maxage=10                                             # 로그 보관 일수
    ······

3. 구성 재적용 
root@master01:~# systemctl daemon-reload && systemctl restart kubelet.service
root@master01:~#
root@master01:~# kubectl get pod -A   # 2분 대기 후 확인, 클러스터 정상 상태 확인
NAME                          READY   STATUS    RESTARTS        AGE
amd-gpu-6cbfd6c6d6-l5464      1/1     Running   7 (3h44m ago)   134d
nvidia-gpu-64c4d44986-x5qgh   1/1     Running   7 (3h44m ago)   134d
root@master01:~# tail /var/log/kubernetes/audit-logs.txt   # 검증
{"kind":"Event","apiVersion":"audit.k8s.io/v1","level":"Metadata","auditID":"a6c4f229-78be-41d7-a682-6f5597841f9c","stage":"ResponseComplete","requestURI":"/rAgent":"kubelet/v1.31.0 (linux/amd64) kubernetes/9edcffc","objectRef":{"resource":"nodes","name":"master01","apiVersion":"v1"},"responseStatus":{"metadata":ision":"allow","authorization.k8s.io/reason":""}}
·····
root@master01:~#