実際のCKS試験のダンプ[11月-2023]模擬試験[Q21-Q35]を取得する

NO.21 シミュレーション
名前空間test-systemで実行されているtest-web-podという名前の既存のPodを想定し、sa-backendという名前のPodのサービス・アカウントにバインドされている既存のRoleを編集して、エンドポイントに対するget操作のみを許可するようにします。
ネームスペース test-system に test-system-role-2 という名前の新しい Role を作成します。この Role は、statefulsets タイプのリソースに対してパッチ処理を実行できます。
新しく作成したRoleをPodのServiceAccount sa-backendにバインドするtest-system-role-2-bindingという名前の新しいRoleBindingを作成します。

NO.22 a.testing 名前空間の default-token-xxxxx という名前の既存の秘密の内容を取得します。
トークンの値をtoken.txtに格納する。
b.DBネームスペースにtest-db-secretという新しいシークレットを以下の内容で作成する：
ユーザー名: mysql
パスワード：password@123
パス/etc/mysql-credentialsのボリューム経由でtest-db-secretにアクセスできる名前空間dbのnginxイメージのPod名test-db-podを作成する。

NO.23 以下のコマンドでクラスタ／コンフィギュレーション・コンテキストを切り替えることができる：
[desk@cli] $ kubectl config use-context dev
default-denyのNetworkPolicyは、他のNetworkPolicyが定義されていないネームスペースで、誤ってPodを公開してしまうことを防ぎます。
タスク新しい NetworkPolicy は、名前空間 test 内のすべての Ingress + Egress トラフィックを拒否する必要があります。
新しく作成したdefault-deny NetworkPolicyを、ネームスペースtestで実行されているすべてのPodに適用します。
マニフェストの雛形ファイルは /home/cert_masters/network-policy.yaml にあります。

NO.24 シミュレーション
johnというユーザを作成し、CSR Requestを作成し、承認後にユーザの証明書を取得する。
名前空間johnのsecretとpodをリストするjohn-roleという名前のRoleを作成する。
最後に、john-role-bindingという名前のRoleBindingを作成して、新しく作成したロールjohn-roleを名前空間johnのユーザーjohnにアタッチします。 確認方法: kubectl auth CLI コマンドを使用してパーミッションを確認します。

25位 以下のコマンドでクラスタ／コンフィギュレーション・コンテキストを切り替えることができる：
[desk@cli] $ kubectl config use-context prod-account
コンテキスト
PodのServiceAccountにバインドされたRoleは、過度に寛容な権限を付与します。以下のタスクを実行して、パーミッションのセットを減らしてください。
タスクだ：
名前空間データベースで動作しているweb-podという名前の既存のPodがあるとします。
1.PodのServiceAccount test-saにバインドされている既存のRoleを編集して、Pod型のリソースに対してのみget操作の実行を許可するようにします。
2.名前空間データベースに test-role-2 という名前の新しい Role を作成します。この Role は、statfulsets タイプのリソースに対してのみ、更新操作の実行を許可します。
3.新しく作成したRoleをPodのServiceAccountにバインドするtest-role-2-bindという名前の新しいRoleBindingを作成します。
注意：既存のRoleBindingを削除しないでください。

NO.26 クラスタで監査ログを有効にする。 そのためには、ログバックエンドを有効にして、以下のことを確認する。
1.ログは/var/log/kubernetes/kubernetes-logs.txtに保存される。
2.ログファイルは5日間保持される。
3. 最大で10個の古い監査ログファイルが保持される。
基本ポリシーを編集して拡張し、ログに記録する：

NO.27 シミュレーション
allow-npという名前のネットワーク・ポリシーを作成し、ネームスペースstagingのPodが同じネームスペースの他のPodのポート80に接続できるようにします。
ネットワーク・ポリシー
1.ポート80をリッスンしていないポッドへのアクセスを許可しない。
2.ネームスペースのステージングではなく、Podからのアクセスを許可しない。

NO.28 名前空間test-systemで実行されているnginx-podという名前の既存のPodがある場合、使用されているservice-account-nameを取得し、その内容を/candidate/KSC00124.txtに記述します。 名前空間test-systemにdev-test-roleという名前の新しいRoleを作成し、名前空間タイプのリソースに対して更新操作を実行できるようにします。

NO.29 以下のコマンドでクラスタ／コンフィギュレーション・コンテキストを切り替えることができる：
[desk@cli] $ kubectl config use-context dev
コンテキスト
CISベンチマークツールがkubeadmで作成されたクラスタに対して実行され、対処すべき複数の問題が見つかった。
タスクだ：
コンフィギュレーションによってすべての問題を修正し、影響を受けるコンポーネントを再起動して、新しい設定が有効になるようにします。
APIサーバーに対して発見された以下の違反をすべて修正する：
1.2.7 authorization-mode 引数が AlwaysAllow に設定されていない FAIL
1.2.8 authorization-mode 引数にノード FAIL を含む
1.2.7 authorization-mode 引数に RBAC を含む FAIL
Kubeletに対して見つかった以下の違反をすべて修正します：
4.2.1 anonymous-auth引数がfalseに設定されていることを確認する FAIL
4.2.2 authorization-mode 引数が AlwaysAllow に設定されていない FAIL (可能であれば Webhook autumn/authz を使用する) etcd に対して見つかった以下の違反をすべて修正する：
2.2 client-cert-auth引数がtrueに設定されていることを確認する。

30位 制限されたネームスペースのボリューム・タイプとして persistentvolumeclaim のみを許可する PSP を作成します。
persistentvolumeclaimとは別に異なるボリュームを持つPodがマウントできないようにする、prevent-volume-policyという名前の新しいPodSecurityPolicyを作成する。
名前空間 restricted に psp-sa という名前の新しい ServiceAccount を作成します。
新しく作成したポッドセキュリティポリシーprevent-volume-policyを使用する、psp-roleという名前の新しいClusterRoleを作成します。
作成されたClusterRole psp-roleを作成されたSA psp-saにバインドする、psp-role-bindingという名前の新しいClusterRoleBindingを作成します。
ヒントだ：
また、ポッド・マイフェストでシークレットをマウントしようとすると失敗するはずなので、コンフィギュレーションが機能しているかどうかをチェックしてください。
PODマニフェスト：
apiVersion: v1
種類ポッド
というメタデータがある：
と名付けた：
スペック
の容器がある：
- と名付けた：
イメージ
ボリュームマウント：
- と名付けた：
マウントパス：
巻である：
- と名付けた：
秘密だ：
secretName：

NO.31 シミュレーション
クラスタで監査ログを有効にする。 そのためには、ログバックエンドを有効にして、以下のことを確認する。
1.ログは/var/log/kubernetes/kubernetes-logs.txtに保存される。
2.ログファイルは5日間保持される。
3. 最大で10個の古い監査ログファイルが保持される。
基本ポリシーを編集して拡張し、ログに記録する：
1.RequestResponseでのCronjobsの変更
2.ネームスペース kube-system のデプロイメント変更の要求本文をログに記録します。
3.コアとエクステンションの他のすべてのリソースをリクエストレベルでログに記録する。
4.エンドポイント上の "system:kube-proxy "または

NO.32 クラスタ：admission-cluster
マスター・ノード：マスター
ワーカーノード: worker1
以下のコマンドでクラスタ／コンフィギュレーション・コンテキストを切り替えることができる：
[desk@cli] $ kubectl config use-context admission-cluster
コンテキスト
コンテナ・イメージ・スキャナはクラスタにセットアップされているが、まだクラスタの構成に完全に統合されていない。完了すれば、コンテナ・イメージ・スキャナは脆弱なイメージをスキャンし、その使用を拒否する。
タスクだ：
すべてのサービスとファイルが準備され、配置されているクラスタのマスターノード上ですべてのタスクを完了する必要があります。
ディレクトリ /etc/Kubernetes/config に不完全な設定があり、HTTPS エンドポイント https://imagescanner.local:8181/image_policy を持つ機能的なコンテナ・イメージ・スキャナがあるとします：
1.画像ポリシーを作成するために必要なプラグインを有効にする。
2.制御コンフィギュレーションを検証し、暗黙の拒否に変更する。
3.提供されたHTTPSエンドポイントを正しく指すように、設定を編集する。 最後に、脆弱なリソース/home/cert_masters/test-pod.ymlをデプロイしてみて、設定が機能しているかテストする。

NO.33 コンテクスト
組織のセキュリティ・ポリシーには、以下のようなものがある：
ServiceAccountsはAPIクレデンシャルを自動マウントしてはなりません。
サービスアカウント名は"-sa "で終わる必要があります。
マニフェスト・ファイル /home/candidate/KSCH00301 /pod-m nifest.yaml で指定された Pod は、指定された ServiceAccount が正しくないため、スケジュールできません。
以下のタスクを完了する：
タスク
1.既存の名前空間にfrontend-saという新しいServiceAccountを作成する q a. ServiceAccountがAPI認証情報を自動マウントしないことを確認する。
2.home/candidate/KSCH00301 /pod-manifest.yaml にあるマニフェストファイルを使用して、Pod を作成します。
3.最後に、namespace qa内の未使用のServiceAccountsを一掃する。

NO.34 Trivyを使って以下の画像をスキャンする、

NO.35 シミュレーション
与えられたDockerfileを分析・編集する
FROM ubuntu:latest
RUN apt-get update -y
RUN apt-install nginx -y
COPYエントリポイント.sh /
ENTRYPOINT ["/entrypoint.sh"]。
ユーザールート
セキュリティのベストプラクティスに関わる顕著な問題である、ファイル中の2つの指示の修正 デプロイメントマニフェストファイルの分析と編集 apiVersion: v1 kind：Pod メタデータ：
name: セキュリティ・コンテキスト・デモ-2
スペック
セキュリティコンテキスト：
runAsUser: 1000
の容器がある：
- ファイル名: sec-ctx-demo-2
image: gcr.io/google-samples/node-hello:1.0
セキュリティコンテキスト：
runAsUser: 0
特権真
allowPrivilegeEscalation: false
セキュリティのベストプラクティスとして、ファイルに存在する2つのフィールドを修正する。