|
|
### Dienste und Service-Accounts
|
|
|
|
|
|
Der Softwarelieferant MUSS
|
|
|
- die Anwendungssoftware so gestalten, dass keine erweiterten Privilegien
|
|
|
benötigt werden (kein \"privileged\"-Mode für den laufenden
|
|
|
Container) (SYS.1.6.A17 Ausführung von Containern ohne Privilegien).
|
|
|
- die Services so entwickeln, dass die Serviceaccounts mit den
|
|
|
geringst möglichen Berechtigungen betrieben werden können
|
|
|
(SYS.1.6.A17 Ausführung von Containern ohne Privilegien).
|
|
|
- die Software so gestalten, dass die genutzten User- und Group-ID's
|
|
|
keine oder nur minimale Berechtigungen auf die System- und
|
|
|
Datenbereiche des Hosts erfordern (SYS.1.6.A18 Accounts der Anwendungsdienste).
|
|
|
Der Softwarelieferant MUSS...
|
|
|
- Beispieltext (SYS.1.6.AX)
|
|
|
|
|
|
Der Softwarelieferant SOLL...
|
|
|
- die Software so gestalten, dass jeder Container nur einen Dienst
|
|
|
bereitstellt (SYS.1.6.A11 Nur ein Dienst pro Container).
|
|
|
- sicherstellen, dass zusammenhängende Dienste durch das Deployment
|
|
|
bzw. die Orchestrierung mehrerer Container als Gruppe
|
|
|
bereitgestellt werden können und geeignete Deployment-Pakete
|
|
|
liefern {- (SYS.1.6.A12) -}.
|
|
|
- Software so bereitstellen, dass kein Fernzugriff bei der
|
|
|
Implementierung und beim Betrieb erforderlich ist (A16 Administrativer Fernzugriff auf Container).
|
|
|
- Containerimages so entwickeln, dass sie mit einer möglichst geringen
|
|
|
Anzahl von Serviceaccounts unter Wahrung des
|
|
|
Least-Privilage-Ansatzes betrieben werden können (SYS.1.6.A17 Ausführung von Containern ohne Privilegien).
|
|
|
- für jede Anwendung dedizierte Service-Accounts nutzen (APP.4.4.A9 Nutzung von Kubernetes Service-Accounts)
|
|
|
- Beispieltext (SYS.1.6.AX)
|
|
|
|
|
|
Umsetzungshinweise:
|
|
|
- Hinweis zu (SYS.1.6.A17): Es muss eine beliebige hohe UID genutzt
|
|
|
werden können, welche dem Container beim Starten übergeben wird.
|
|
|
Siehe auch
|
|
|
<https://docs.openshift.com/container-platform/4.2/openshift_images/create-images.html>, Punkt \"Support arbitrary user ids\"
|
|
|
- Hinweis zu (SYS.1.6.A16): Software zum administrativen Zugriff wie
|
|
|
zum Beispiel ssh, telnet sollten in den Images nicht vorhanden und
|
|
|
auch nicht erforderlich sein. |
|
|
Der Softwarelieferant KANN...
|
|
|
- Beispieltext (SYS.1.6.AX)
|
|
|
|
|
|
**Umsetzungshinweise**
|
|
|
|
|
|
*Zu SYS.1.6.AX:*
|
|
|
Beispielhinweis |
|
|
\ No newline at end of file |