kube-bench

Description

kube-bench est l'outil open-source de référence (Aqua Security) pour auditer la conformité d'un cluster Kubernetes contre le CIS Kubernetes Benchmark. Il vérifie automatiquement les configurations du kube-apiserver, etcd, kubelet, scheduler, controller-manager et des politiques réseau et de pods.

Contexte cloud

Pour EKS, AKS et GKE, des versions spécifiques du benchmark CIS existent et kube-bench dispose de cibles adaptées. Sur les clusters managés, certains checks concernant le plan de contrôle (géré par le CSP) peuvent être marqués comme not applicable ou réussis automatiquement.

Points clés

• Exécution sur EKS : kubectl apply -f https://raw.githubusercontent.com/aquasecurity/kube-bench/main/job-eks.yaml comme Job Kubernetes, récupérer les logs du pod résultant
• Checks critiques : kubelet anonymous-auth=false, RBAC activé, PodSecurity admission plugin configuré, etcd chiffrement at-rest activé
• Intégration CI/CD : kube-bench --json | jq '[.Controls[].tests[].results[] | select(.status==FAIL and .scored==true)]' pour bloquer les déploiements non conformes