kube-bench

チェック対象は、現場で実際に問題になりがちな箇所だ。マニフェストや証明書のファイル権限、匿名認証や認可モードといったAPIサーバーのフラグ、監査ログの有効化、kubeletの設定、etcdの設定など。クラスタ内のジョブとしても、ノード上のバイナリとしても実行でき、各結果にはベンチマークの項目番号と修復手順が付く。出力を成績表として扱う前に、注意点が二つある。一つは、項目の多くが「手動」扱いで人間の判断を要すること。もう一つは、マネージドサービスではコントロールプレーンが見えないため、実施できない項目がいくつもあること。そのためプロバイダ別のプロファイルが用意されている。