Kubernetesセキュリティの基礎

Kubernetesは、多数のマシン上で多くのコンテナを実行・管理するシステムです。

コンテナをPodにまとめ、ノードへ自動的にスケジュールします。

Kubernetesのクラスターでは、組織にとって最も重要なアプリケーションが実行されていることがよくあります。

コントロールプレーン、ノード、ネットワークなど多くの構成要素があるため、攻撃者が調査できる範囲も広くなります。

APIサーバーはクラスターの中枢です。すべての操作がここを通ります。

強力な認証なしにパブリックインターネットへ公開してはなりません。公開すると、攻撃者にすべてを制御される可能性があります。

RBACはRole-Based Access Control（ロールベースアクセス制御）の略です。クラスター内で誰が何をできるかを決定します。

最小権限の原則に従い、各ユーザーとサービスには必要な権限だけを付与してください。

Podはサービスアカウントを使用してAPIと通信します。

デフォルト設定では権限が過剰になっている可能性があります。Podでトークンが不要な場合は、トークンを無効にしてください。

Namespaceを使うと、クラスターを分離された領域に分割できます。

チームや環境を異なるNamespaceに配置すると、被害範囲を限定でき、アクセスルールも管理しやすくなります。

デフォルトでは、すべてのPodが互いに自由に通信できます。

ネットワークポリシーはその通信を制限するため、侵害されたPodがあらゆる場所に到達するのを防げます。本当に必要な接続だけを許可してください。

KubernetesのSecretには、パスワードやトークンなどの機密データを格納します。

保存時の暗号化を有効にし、Podの定義やイメージにシークレットをハードコードしないでください。

Podには、他のコンテナと同じ強化策を適用してください。

• 非rootユーザーで実行する
• 不要なケイパビリティを削除する
• 特権モードを避ける

Pod Security標準を使うと、これらのルールをクラスター全体で適用できます。

APIサーバーは、すべてのリクエストを監査ログとして記録できます。

このログから、誰が、いつ、何を行ったかを確認できます。これは不審な活動の発見と調査に不可欠です。

Kubernetesとそのコンポーネントは、セキュリティ修正を定期的にリリースします。

古いバージョンを実行していると、既知のセキュリティホールが残ったままになります。スケジュールを決めて、コントロールプレーン、ノード、アドオンにパッチを適用してください。

KubernetesクラスターでRBACが制御するのは何ですか？

Kubernetesを保護するには、APIサーバーを保護し、RBACと最小権限を適用し、Namespaceとネットワークポリシーで分離し、シークレットを安全に管理し、Podを強化し、監査ログを有効にして、頻繁にパッチを適用します。