kube-bench

Les contrôles couvrent ce qui cloche le plus souvent en pratique : permissions de fichiers sur les manifestes et certificats, options du serveur API comme l'authentification anonyme et le mode d'autorisation, si la journalisation d'audit est activée, la configuration du kubelet et les réglages d'etcd. L'outil tourne soit comme un job dans le cluster, soit comme un binaire directement sur le nœud, et chaque résultat vient avec la référence au point du benchmark plus le texte de remédiation. Deux réserves valent d'être connues avant de lire le résultat comme une note. Une large part des contrôles est marquée manuelle et exige un jugement humain. Et dans les services managés, le plan de contrôle est caché, donc plusieurs contrôles ne peuvent tout simplement pas s'exécuter — d'où les profils spécifiques par fournisseur.