K8S CKS认证考试内容分析 --Part 3

Task
创建一个名为 pod-restriction 的 NetworkPolicy 来限制对在 namespace dev-team 中运行的 Pod products-service 的访问，

只允许以下 Pod连接到 Pod products-service
- namespace qaqa 中的 Pod
- 位于任何namespace，带有标签 environment testing 的Pod

注意:确保应用 NetworkPolicy。
你可以在/cks/net/po.yaml 我到一个模板清单文件

# kubectl get ns --show-labels
NAME                   STATUS   AGE     LABELS
db                     Active   2d2h    kubernetes.io/metadata.name=db
default                Active   44d     kubernetes.io/metadata.name=default
front-apps             Active   45h     kubernetes.io/metadata.name=front-apps
istio-system           Active   42h     kubernetes.io/metadata.name=istio-system

#kubectl get pod -n dev-team --show-labels

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: egress-namespaces   ## 修改名字
  namespace: dev-team       ## 增加命名空间为需要限制访问的pod所在的namespace
spec:
  podSelector: 
    matchLabels:
      app: products-service ## 修改为指定要限制的pod的标签,要提前查出来，按查到的修改。
  policyTypes:
  - Ingress                 ## 只保留限制类型为 Ingress
  ingress:                  ## 只保留 ingress
    - from:                  
      - namespaceSelector:   
          matchLabels:
            kubernetes.io/metadata.name: qaqa     ## 修改为题目要求的空间的默认标签
      - namespaceSelector: {}  ## 显示指定命名空间，{}表示匹配所有命名空间。这个一定不能少。
        podSelector:           ## 前面不能再加 - 因为和上一行是 and 的关系
          matchLabels:   
            environment: testing  ## 修改为题目要求的pod标签

#kubectl apply -f 9_network.yaml

Task
使用 Trivy 开源器扫描器检测 namespace kamino 中 Pod 使用的具有严重漏洞的镜像.

查找具有 High 或 Critical 严重性漏洞的镜像，并删除使用这些镜像的 Pod。

注意: Triw 仅安装在 cluster 的 master 节点上
在工作节点上不可使
你必须切换到 cluster 的 master 节点才能使用Trivy。

# kubectl get pod -o jsonpath='{range .items[*]}{.metadata.name},{.spec.containers[*].image}{"\n"}{end}' -n kubesphere-devops-system 
kube-state-metrics-7667b7b6b4-p2rq6,harbor.timesgroup.cn/kubesphere/kube-state-metrics:v2.5.0 harbor.timesgroup.cn/kubesphere/kube-rbac-proxy:v0.11.0 harbor.timesgroup.cn/kubesphere/kube-rbac-proxy:v0.11.0
node-exporter-6g226,tharbor.timesgroup.cn/prom/node-exporter:v1.3.1 tharbor.timesgroup.cn/kubesphere/kube-rbac-proxy:v0.11.0

#trivy image --severity CRITICAL,HIGH  tharbor.timesgroup.cn/chenhq/nginx-web1:v3  

cat image.txt|while read line
do
   echo $line|awk -F"," '{print $1}'
   for image in `echo $line|awk -F"," '{print $2}'`
     do
       trivy image --skip-db-update=true --severity CRITICAL,HIGH  $image|grep "Total"
     done
done

reditate-metrics-7667b7b6b4-p2rq6
Total: 4 (HIGH: 4, CRITICAL: 0)
Total: 0 (HIGH: 0, CRITICAL: 0)
Total: 4 (HIGH: 4, CRITICAL: 0)
node-exporter-6g226
Total: 4 (HIGH: 4, CRITICAL: 0)
Total: 0 (HIGH: 0, CRITICAL: 0)

Context
APPArmor 已在 cluster 的工作节点 node02 上被启用。一个 APPArmor 配置文件已存在，但尚未被实施

Task
在 custer 的工作节点 node02 上，实施位于 /etc/apparmor.d/nginx_apparmor 的现有 APPArmor 配置文件
编辑位于 /cks/KSSH00401/nginx-deploy.yaml 的现有清单文件以应用 AppArmor 配置文件。
最后，应用清单文件并创建其中指定的 Pod

#include <tunables/global>

profile nginx-profile-3 flags=(attach_disconnected){
  #include <abstractions/base>
  file，
  # Deny all file weites.
  deny /** w,
}

apiversion: v1
kind: Pod
metadata:
  name: podx
spec:
  containers :
  - image: busybox
    imagePullPolicy: IfNotPresent
    name : podx
    command: [ "sh",-c" "echo 'Hello AppArmor!: && sleep 5h" ]
    resources:
  nodeName: node02
  dnsPolicy: ClusterFirst
  restartPolicy: Always
status: {}

# apparmor_parser -q /etc/apparmor.d/nginx_apparmor 
# apparmor_status  ## 查看当前配置，检查是否加载成功。

apiversion: v1
kind: Pod
metadata:
  name: podx
  annotations:  ## add
    container.apparmor.security.beta.kubernetes.io/podx: localhost/nginx-profile-3  # add
spec:
...

#kubectl apply -f /cks/KSSH00401/nginx-deploy.yaml

Task:
使用运行时检测工具来检测 Pod tomcat123 单个容器中频发生成和执行的异常进程
有两种工具可供使用:
- sysdig
- falco
注: 这些工具只预装在 cluster 的工作节点 node02 上，不在 master 节点。

使用工具至少分析 30 秒，使用过滤器检查生成和执行的进程，将事件写到 /opt/KSR00101/incidents/summary 文件中,
其中包含检测的事件，格式如下:
timestamp,uid/username,processName

以下示例显示了格式正确的事件文件:
01:40:19.601363716,root,init
01:40:20.606013716,nobody,bash
01:40:21.137163716,1000,tar

保持工具的原始时间戳格式不变。
注: 确保事件文件存储在集群的工作节点上。

#sysdig -h
...
 -M <num_seconds>   Stop collecting after <num_seconds> reached.
...
 Print the name of the files opened by cat
   $ sysdig -p"%evt.arg.name" proc.name=cat and evt.type=open

# sysdig -l|grep time
evt.time        event timestamp as a time string that includes the nanosecond p
# sysdig -l|grep container
container.id    the container id.
container.name  the container name.
# sysdig -l|grep user
user.uid        user ID.
user.name       user name.
# sysdig -l|grep proc
proc.name       the name (excluding the path) of the executable generating the 

#crictl info|grep sock    # 查使用的cri，后面需要用到
    "containerdEndpoint": "/run/containerd/containerd.sock",
#crictl ps |grep tomcat123

#sysdig -M 30 -p"%evt.time,%user.uid,%prod.name" --cri /run/containerd/containerd.sock container.name=tomcat123 >>/opt/KSR00101/incidents/summary 
#sysdig -M 30 -p"%evt.time,%user.name,%prod.name" --cri /run/containerd/containerd.sock container.name=tomcat123 >>/opt/KSR00101/incidents/summary