CIS Ubuntu ベンチマーク

このドキュメントでは、Google Distributed Cloud が CIS Ubuntu Benchmark ベンチマークに準拠しているレベルについて説明します。

ベンチマークにアクセスする

CIS Ubuntu Benchmark は CIS ウェブサイトで入手できます。

構成プロファイル

CIS Ubuntu Benchmark のドキュメントでは、構成プロファイルについて確認できます。Google Distributed Cloud で使用される Ubuntu イメージは、Level 2 - Server のプロファイルに対応するように強化されています。

Google Distributed Cloud に対する評価

Google Distributed Cloud では、次の値を使用して Ubuntu 推奨事項のステータスを表しています。

Google Distributed Cloud のステータス

Google Distributed Cloud で使用される Ubuntu イメージは、CIS Level 2 - Server のプロファイルを満たすように強化されています。次の表は、Google Distributed Cloud のコンポーネントが特定の推奨事項に合格しなかった理由を示しています。

AIDE cron ジョブを構成する

AIDE は、CIS L1 Server ベンチマーク 1.4 Filesystem Integrity Checking に準拠していることを確認するファイル整合性チェックツールです。Google Distributed Cloud では、AIDE プロセスによってリソース使用率が高い問題が引き起こされています。

リソースの問題を防ぐため、ノードの AIDE プロセスはデフォルトで無効になっています。これは、CIS L1 Server ベンチマーク 1.4.2（Ensure filesystem integrity is regularly checked.）への準拠に影響を与えます。

AIDE cron ジョブの実行を有効にする場合は、次の手順で AIDE を再度有効にします。

1. DaemonSet を作成します。

   DaemonSet のマニフェストを次に示します。

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
   name: enable-aide-pool1
   spec:
   selector:
     matchLabels:
       app: enable-aide-pool1
   template:
     metadata:
       labels:
         app: enable-aide-pool1
     spec:
       hostIPC: true
       hostPID: true
       nodeSelector:
         cloud.google.com/gke-nodepool: pool-1
       containers:
       - name: update-audit-rule
         image: ubuntu
         command: ["chroot", "/host", "bash", "-c"]
         args:
         - |
           set -x
           while true; do
             # change daily cronjob schedule
             minute=30;hour=5
             sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab
   
             # enable aide
             chmod 755 /etc/cron.daily/aide
   
             sleep 3600
           done
         volumeMounts:
         - name: host
           mountPath: /host
         securityContext:
           privileged: true
       volumes:
       - name: host
         hostPath:
           path: /
   

   上のマニフェストでは、次のようになっています。

   • AIDE cron ジョブは、nodeSelector cloud.google.com/gke-nodepool: pool-1 で指定されたノードプール pool-1 でのみ実行されます。nodeSelector フィールドの下にプールを指定することで、AIDE プロセスを、必要とする数のノードプールで実行するように構成できます。異なるノードプールで同じ cron ジョブ スケジュールを実行するには、nodeSelector フィールドを削除します。ただし、ホストリソースの競合を回避するために、個別のスケジュールを維持することをおすすめします。

   • cron ジョブは、構成 minute=30;hour=5 で指定されているとおり、毎日午前 5 時 30 分に実行されるようにスケジュール設定されます。AIDE cron ジョブには、必要に応じて異なるスケジュールを構成できます。

2. このマニフェストを enable-aide.yaml という名前のファイルにコピーして DaemonSet を作成します。

   kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
   

   USER_CLUSTER_KUBECONFIG は、ユーザー　クラスタの kubeconfig ファイルのパスです。