kube-bench
Uruchamia CIS Kubernetes Benchmark na istniejącym klastrze i raportuje, które kontrole przechodzą, które nie i co z tym zrobić.
Kontrole obejmują to, co w praktyce zwykle szwankuje: uprawnienia do plików manifestów i certyfikatów, flagi serwera API, takie jak uwierzytelnianie anonimowe i tryb autoryzacji, włączone logi audytu, konfiguracja kubeleta i ustawienia etcd. Narzędzie działa jako job w klastrze albo jako binarka bezpośrednio na węźle, a każdy wynik zawiera numer z benchmarku i opis naprawy. Zanim potraktuje się wynik jak ocenę, warto znać dwa zastrzeżenia. Duża część kontroli jest oznaczona jako ręczna i wymaga ludzkiej oceny. Ponadto w usługach zarządzanych control plane jest ukryty, więc część sprawdzeń w ogóle nie może się wykonać — stąd profile dla poszczególnych dostawców.