--- sourceDocument: Gestion des services IT Australie sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/fr-FR/it-service-management Release : - australia ft:locale : - fr-FR ft:publication_title : - Gestion des services IT Australie ft:clusterId : - itsm bundleId : - itsm workflow : - Technology --- # Politiques Kubernetes # Politiques Kubernetes dans DevOps Config {#ariaid-title1} * Rversion finale: Australia * * Mis à jour 12 mars 2026 * * ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 5 minutes de lecture Par défaut, le pack de contenu Politique DevOps Config contient un ensemble de politiques permettant de valider votre configuration Kubernetes. Important : DevOps Config est désormais obsolète et n'est plus pris en charge ni disponible pour une nouvelle activation. Vous pouvez utiliser ou personnaliser ces stratégies par défaut DevOps Config pour valider que le contenu de vos données de configuration est conforme, ou [Administrer le cycle de vie complet de PaCE politiques](https://www.servicenow.com/docs/access?context=pace-managing-policies&version=australia&pubname=australia-servicenow-platform&ft:locale=en-US). Remarque : Vous ne pouvez pas modifier les politiques par défaut. Toutefois, vous pouvez créer une copie de la politique et la personnaliser. |-| | [A](https://servicenow-prod.fluidtopics.net/wOedUIojN6JiMykXBbGdZg#devops-config-k8s-policies__a) \| [B](https://servicenow-prod.fluidtopics.net/wOedUIojN6JiMykXBbGdZg#devops-config-k8s-policies__b) \| [C](https://servicenow-prod.fluidtopics.net/wOedUIojN6JiMykXBbGdZg#devops-config-k8s-policies__c) \| [D](https://servicenow-prod.fluidtopics.net/wOedUIojN6JiMykXBbGdZg#devops-config-k8s-policies__d) \| [I](https://servicenow-prod.fluidtopics.net/wOedUIojN6JiMykXBbGdZg#devops-config-k8s-policies__i) \| [K](https://servicenow-prod.fluidtopics.net/wOedUIojN6JiMykXBbGdZg#devops-config-k8s-policies__k) \| [M](https://servicenow-prod.fluidtopics.net/wOedUIojN6JiMykXBbGdZg#devops-config-k8s-policies__m) \| [N](https://servicenow-prod.fluidtopics.net/wOedUIojN6JiMykXBbGdZg#devops-config-k8s-policies__n) \| [P](https://servicenow-prod.fluidtopics.net/wOedUIojN6JiMykXBbGdZg#devops-config-k8s-policies__p) \| [R](https://servicenow-prod.fluidtopics.net/wOedUIojN6JiMykXBbGdZg#devops-config-k8s-policies__r) \| [S](https://servicenow-prod.fluidtopics.net/wOedUIojN6JiMykXBbGdZg#devops-config-k8s-policies__s) \| [T](https://servicenow-prod.fluidtopics.net/wOedUIojN6JiMykXBbGdZg#devops-config-k8s-policies__t) | [Tableau 1. Navigation par la première lettre pour les politiques sur cette page] {#devops-config-k8s-policies__table_gsp_4vm_nzb} ## Le module d'extension de contrôle d'admission Toujours extraire les images est activé (container_always_pull_images_plugin_is_enabled) {#devops-config-k8s-policies__a} Vérifie si le module d'extension du contrôleur d'admission `AlwaysPullImages` est activé pour le serveur d'API Kubernetes. Entraîne un statut non conforme lorsque le module d'extension `AlwaysPullImages` n'est pas spécifié avec l'argument `--enable-admission-plugins` lors de l'utilisation de la commande `kube-apiserver`. ## Le fichier d'authentification de base n'est pas défini (container_basic_auth_file_is not_set) {#devops-config-k8s-policies__b} Vérifie si le serveur d'API Kubernetes n'utilise pas le mécanisme d'authentification utilisateur de base. Entraîne un statut non conforme lorsque l'argument `--basic-auth-file` est spécifié pour un conteneur lors de l'utilisation de la commande `kube-apiserver`. ## L'adresse de liaison n'est pas définie (container_bind_address_not_set_to_localhost) {#devops-config-k8s-policies__section_mzm_1t1_wxb} Vérifie si l'adresse de liaison du planificateur Kubernetes ou du gestionnaire de contrôleur Kubernetes n'est pas `127.0.0.1`. Entraîne un statut non conforme lorsque l'argument `--bind-address` est défini sur `127.0.0.1` pour un conteneur lors de l'utilisation de la commande `kube-controller-manager` ou `kube-scheduler`. ## Les conteneurs ne s'exécutent pas avec un UID bas (container_uid_minimum_limit) {#devops-config-k8s-policies__c} Vérifie si l'UID de chaque conteneur au sein d'un pod Kubernetes est supérieur ou égal à la valeur d'UID minimum spécifiée. Entraîne un statut non conforme si l'UID défini pour un conteneur est inférieur à la valeur d'UID minimum. Si l'UID n'est pas défini pour un conteneur, l'UID du pod associé est validé. Argument d'entrée : min_uid * Valeur d'UID minimum requise pour les conteneurs dans un pod. * Valeur par défaut : `10 000` * Type : entier * Obligatoire : faux {#devops-config-k8s-policies__ul_amt_12r_wxb} ## Les conteneurs nécessitent des options de dépôt (container_requires_drop_capabilities) {#devops-config-k8s-policies__section_y2d_zw1_wxb} Vérifie si les options de dépôt sont définies pour les conteneurs dans un pod Kubernetes. Entraîne un statut non conforme lorsque les options de dépôt d'un conteneur ne sont pas définies. ## Les conteneurs s'exécutent en tant qu'utilisateur non racine (container_run_as_nonroot_user) {#devops-config-k8s-policies__section_g3v_jw1_wxb} Vérifie si les conteneurs d'un pod Kubernetes s'exécutent uniquement en tant qu'utilisateur non racine afin de limiter l'exploitabilité d'une mauvaise configuration de sécurité et de restreindre les possibilités d'un attaquant en cas de compromission. Entraîne un statut non conforme lorsque la clé `runAsNonRoot` d'un conteneur est définie sur `faux` ou lorsque l'ID d'utilisateur (UID) d'un conteneur est zéro. ## Les conteneurs fonctionnent sans accès privilégié (container_is_not_privileged) {#devops-config-k8s-policies__section_nsh_hx1_wxb} Vérifie si les conteneurs dans un pod Kubernetes sont exécutés sans accès privilégié. Entraîne un statut non conforme lorsque le champ privilégié pour un conteneur est défini sur `vrai`. ## Les conteneurs s'exécutent sans l'aptitude d'administration système (container_is_without_sys_admin_capability) {#devops-config-k8s-policies__section_yfl_qw1_wxb} Vérifie si les conteneurs d'un pod Kubernetes sont exécutés sans l'aptitude SYS_ADMIN. Entraîne un statut non conforme lorsque les privilèges SYS_ADMIN sont affectés à un conteneur. ## Les demandes de processeur sont dans les limites (container_cpu_request_within _limits) {#devops-config-k8s-policies__section_k2j_qt1_wxb} Vérifie si les conteneurs au sein d'un pod Kubernetes demandent les ressources de l'unité centrale (CPU) dans la limite de CPU spécifiée. Entraîne un statut non conforme lorsque la clé `limits.cpu` n'est pas définie ou lorsque la valeur de la clé `requests.cpu` dépasse la valeur de la clé `limits.cpu`. ## Le socket démon de Docker n'est pas exposé (docker_daemon_socket_not_exposed) {#devops-config-k8s-policies__d} Vérifie si le socket démon de Docker n'est pas exposé aux conteneurs. Entraîne un statut non conforme lorsque la clé `hostPath.path` pour un volume est définie sur /var/run/docker.sock. ## La politique d'extraction d'image est définie sur Toujours (container_imagePullPolicy_is_always) {#devops-config-k8s-policies__i} Vérifie si le champ `imagePullPolicy` de chaque conteneur d'un pod Kubernetes est défini sur `Toujours`. Entraîne un statut non conforme si le champ `imagePullPolicy` n'est pas défini ou si le critère `Toujours` n'est pas respecté. ## L'adresse de liaison non sécurisée n'est pas définie (container_insecure_bind_address_is_not_set) {#devops-config-k8s-policies__section_usg_cdg_yxb} Vérifie si le serveur d'API Kubernetes ne se lie pas à une adresse non sécurisée qui, autrement, pourrait permettre aux attaquants de se connecter au serveur via le port non sécurisé et potentiellement de lire des données sensibles en transit. Entraîne un statut non conforme lorsque l'argument `insecure-bind-address` est spécifié lors de l'utilisation de la commande `kube-apiserver`. ## Kubelet HTTPS est défini sur Vrai (container_kubelet_https_is_true) {#devops-config-k8s-policies__k} Vérifie si les connexions entre le serveur d'API Kubernetes et le kubelet utilisent le protocole HTTPS pour sécuriser le transfert de données. Entraîne un statut non conforme lorsque l'argument `kubelet-https` est défini sur faux lors de l'utilisation de la commande `kube-apiserver`. ## Les demandes de mémoire sont dans les limites (container_memory_request_within _limits) {#devops-config-k8s-policies__m} Vérifie si les conteneurs au sein d'un pod Kubernetes consomment des ressources dans la limite de mémoire spécifiée. Entraîne un statut non conforme lorsque la clé `limits.memory` n'est pas définie ou lorsque la valeur de la clé `requests.memory` dépasse la valeur de la clé `limits.memory`. ## Aucun caractère générique dans la règle RBAC (rbac_no_wildcard_in_rule) {#devops-config-k8s-policies__n} Vérifie si les ressources Role et ClusterRole n'utilisent pas de caractères génériques pour désigner des objets ou des actions pour la règle de contrôle d'accès basé sur les rôles (RBAC). Renvoie un statut non conforme lorsque des caractères génériques sont utilisés dans `apiGroups`, `ressources` ou `verbes` pour la règle RBAC. ## Escalade de privilège non autorisée (container_privilege_escalation_not_allowed) {#devops-config-k8s-policies__p} Vérifie si les conteneurs d'un pod Kubernetes ont des privilèges inférieurs à ceux de leur processus parent. Entraîne un statut non conforme lorsque la clé `allowPrivilegeEscalation` pour un conteneur est définie sur `vrai` ou n'est pas définie. ## Conteneurs racines admis (container_read_only_root_file_system) {#devops-config-k8s-policies__r} Vérifie si le système de fichiers racine des conteneurs d'un pod Kubernetes est défini sur lecture seule. Renvoie un statut non conforme lorsque la clé `readOnlyRootFilesystem` d'un conteneur n'est pas définie ou est définie sur `faux`. ## Le profil Seccomp est configuré (container_seccomp_profile_is_configured ) {#devops-config-k8s-policies__s} Vérifie si les conteneurs d'un pod Kubernetes sont configurés avec un profil de mode de calcul sécurisé (seccomp) pour restreindre les appels système potentiellement dangereux (syscalls). Entraîne un statut non conforme lorsque la clé `seccompProfile.type` d'un conteneur n'est pas définie ou est définie sur une valeur autre que `Localhost` ou `RuntimeDefault`. ## Le fichier de clé privée de compte de service est spécifié (container_service_account_private_key_file_is_specified) {#devops-config-k8s-policies__section_fd5_lt1_wxb} Vérifie si l'argument `--service-account-private-key-file` est spécifié avec la commande `kube-controller-manager` pour un conteneur. Entraîne un statut non conforme lorsque l'argument `--service-account-private-key-file` est spécifié pour un conteneur lors de l'utilisation de la commande `kube-controller-manager`. ## Le port sécurisé n'est pas défini sur zéro (container_secure_port_not_set_to_zero) {#devops-config-k8s-policies__section_ocj_ts1_wxb} Vérifie si le serveur d'API Kubernetes n'utilise pas le port `0` pour l'authentification et l'autorisation HTTPS. Entraîne un statut non conforme lorsque l'argument `--secure-port` est défini sur `0` pour un conteneur lors de l'utilisation de la commande `kube-apiserver`. ## Le fichier d'authentification par jeton n'est pas défini (token_auth_file_is_not_set) {#devops-config-k8s-policies__t} Vérifie si le serveur d'API Kubernetes n'utilise pas un fichier de jeton statique pour l'authentification utilisateur. Entraîne un statut non conforme lorsque l'argument `token-auth-file` est spécifié lors de l'utilisation de la commande `kube-apiserver`.