安全性常見問題

是否有加固指南?

加固指南位於主要的安全性區段中。

加固的 Rancher Kubernetes 叢集是否已經過 CIS Kubernetes 基準測試的評估?我可以在哪裡找到結果?

我們已針對加固的 Rancher Kubernetes 叢集執行 CIS Kubernetes 基準測試。該評估的結果可以在主要的安全性區段中找到。

Rancher 如何驗證與下游叢集的通訊,以及有哪些相關的安全性問題?

Rancher 伺服器與下游叢集之間的通訊是透過代理執行的。Rancher 使用已註冊的憑證授權機構 (CA) 套件或本地信任儲存來驗證 Rancher 代理與 Rancher 伺服器之間的通訊。使用 CA 套件進行驗證更為嚴格,因為只有基於該套件的憑證才會被信任。如果對明確的 CA 套件的 TLS 驗證失敗,Rancher 可能會退回到使用本地信任儲存來驗證未來的通訊。本地信任儲存中的任何 CA 都可以用來產生有效的憑證。

如 Rancher Security Update CVE-2024-22030 中所述,在一組特定的情況下,惡意行為者可以利用 Rancher CA 的行為來接管 Rancher 節點。要成功進行攻擊,惡意行為者必須從目標 Rancher 伺服器中的有效 CA 或從有效的已註冊 CA 產生有效的憑證。攻擊者還需要劫持或偽造 Rancher 伺服器 URL 作為初步步驟。Rancher 目前正在評估 Rancher CA 行為,以緩解此類和任何類似的攻擊途徑。