externalip-webhook

CVE-2020-8554 に対処するために作成されました。

注: このチャートはKubernetes 1.21では非推奨であり、1.22以降ではサポートされていません。CVE-2020-8554を軽減するには、クラスターで DenyServiceExternalIPs アドミッションコントローラー を有効にしてください。

externalip-webhook は、サービスがランダムな外部IPを使用することを防ぐ検証用Webhookです。クラスター管理者は、allowed-external-ip-cidrs パラメータを指定することで、外部IPとして使用を許可するCIDRのリストを指定できます。このWebhookは、外部IPを必要としないサービス、または外部IPが管理者が指定した範囲内にあるサービスの作成のみを許可します。

このリポジトリは kubebuilder を使用して構築されています。

デプロイ

外部IPを特定のCIDRに制限するには、webhook.yaml 内の allowed-external-ip-cidrs のコメントを解除して更新してください。

注: auth-proxy が有効な場合は、metrics_server_auth_proxy.yaml 内の allowed-external-ip-cidrs も更新してください。

事前構築されたWebhookのデプロイ

このリポジトリのマニフェストを使用してWebhookをデプロイするには、kustomize がパスに含まれている必要があります。 kustomize はこちらからダウンロードできます: https://kubernetes-sigs.github.io/kustomize/installation/

make deploy

Webhookのビルドとデプロイ

make docker-build IMG=DOCKER_IMAGE_TAG
make deploy IMG=DOCKER_IMAGE_TAG

Helmチャートのビルドとデプロイ

デプロイを容易にするために、rancher-externalip-webhook Helmチャートが作成されています。

外部IPを特定のCIDRに制限するには、helmコマンドで allowedExternalIPCidrs 値を設定してください。

WebhookのDockerイメージをビルドし、新しいチャートバージョンを生成するには

make rancher-ci

新しいチャートバージョンだけを生成するには

make rancher-chart-ci

Helmチャートのリビジョンは build/chart フォルダの下に生成されます。Helmチャートのアーカイブ build/chart/latest/rancher-externalip-webhook-<VERSION>.tgz とHelmチャートのフォルダ build/chart/rancher-externalip-webhook

チャートのデプロイ

helm -n externalip-webhook template rancher-externalip-webhook build/chart/latest/rancher-externalip-webhook-<VERSION>.tgz --output-dir . --set metrics.enabled=true --set metrics.prometheusExport=true
kubectl apply -R -f ./rancher-externalip-webhook

設定

Webhook名前空間の更新

Webhookはデフォルトで externalip-validation-system 名前空間で実行されます。これは、kustomization.yaml ファイル内の namespace と namePrefix を更新することで変更できます。

Webhook用証明書の生成

Webhook証明書は、cert-managerを使用して生成するか、証明書をアップロードするかのいずれかで行えます。次のセクションでは、その方法について説明します。

cert-managerの使用

kustomization.yaml ファイル内の 'CERTMANAGER' を含むすべてのセクションのコメントを解除してください。

Webhook証明書のアップロード

1. 証明書データ（ca.crt、tls.crt、tls.key）を、kustomization.yaml と同じ名前空間にある webhook-server-cert という名前のKubernetesシークレットとしてアップロードします。
2. manifests.yaml 内の caBundle フィールドを更新します。

メトリクスエンドポイントの有効化

Webhookは、サービス作成または更新操作を拒否するたびに webhook_failed_request_count メトリクスを出力します。

auth-proxyなしで有効化

webhook.yaml 内の --metrics-addr と containers.Port 内の該当セクションのコメントを解除してください。

auth-proxyを使用して /metrics を有効化

1. kustomization.yaml ファイル内の 'METRICS_SERVER_RBAC' を含むすべてのセクションのコメントを解除します。
2. auth_proxy_client_clusterrole.yaml 内のクラスターロールに対するクラスターロールバインディングを作成します。

Prometheus用メトリクスのエクスポート

Webhookメトリクスをエクスポートするには、こちら に記載されている手順に従ってください。

コミュニティ、議論、貢献、サポート

Kubernetesコミュニティへの関わり方については、コミュニティページ をご覧ください。

このプロジェクトのメンテナーには、以下の方法で連絡できます:

• Slack
• メーリングリスト

行動規範

Kubernetesコミュニティへの参加は、Kubernetes Code of Conduct に従います。