Secure Coding & OWASP Top 10 for Backend · レッスン

コンテナセキュリティ（Docker/Kubernetes）

イメージスキャンやネットワークポリシーなど、DockerおよびKubernetesを使用したコンテナ化アプリケーションの構築、デプロイ、管理における安全な手法を実装します。

「コンテナセキュリティ（Docker/Kubernetes）」はCoddyKit上の無料Secure Coding & OWASP Top 10 for Backendレッスンです。これはレッスン2/4です。下記で完全なレッスンを無料で読むことができます。その後、ブラウザ内の組み込みコードエディタと24時間対応のAIチューターでハンズオン演習できます。これはSecure Coding & OWASP Top 10 for Backend学習パスの一部であり、ウェブとCoddyKitアプリ全体で進捗が同期されます。 Secure Coding & OWASP Top 10 for Backendコースには全4レッスンが含まれています。

このレッスンの一部はまだ翻訳されておらず、英語で表示されています。

Introduction to Container Security

Welcome to Container Security! Here, we'll explore how to protect your applications when they run inside containers like Docker and are orchestrated by systems like Kubernetes.

Containers offer great flexibility and efficiency, but they also introduce new security challenges that need careful attention.

Minimize Container Images

Smaller container images mean less attack surface. Remove unnecessary tools, libraries, and files from your final image.

Using multi-stage builds and minimal base images (like Alpine Linux variants) are excellent strategies.

FROM openjdk:17-jdk-slim AS builder
WORKDIR /app
COPY . .
RUN javac Main.java

FROM openjdk:17-jre-slim
WORKDIR /app
COPY --from=builder /app/Main.class .
CMD ["java", "Main"]

Use Trusted Base Images

Always start with official and well-maintained base images from trusted registries. Unofficial images might contain vulnerabilities or even malicious code.

Verify sources: Only pull images from reputable vendors or official repositories.
Scan regularly: Even official images can have vulnerabilities; scan them often.

Principle of Least Privilege

Run your containers with the minimum necessary permissions. This limits the damage if a container is compromised.

Run as non-root: Avoid running processes as the root user inside the container.
Drop capabilities: Remove Linux capabilities (e.g., NET_ADMIN, SYS_ADMIN) that your application doesn't need.

docker run --user 1000:1000 \
  --cap-drop=ALL \
  my-secure-app

Scan Container Images for Vulnerabilities

Integrate automated image scanning tools (like Trivy, Clair, or vulnerability scanners from cloud providers) into your CI/CD pipeline.

Scan images early and often to detect known vulnerabilities in your dependencies and operating system layers before deployment.

Kubernetes Network Policies

Network Policies in Kubernetes allow you to control which pods can communicate with each other and with external network endpoints.

By default, pods can communicate freely. Network policies enforce segmentation, creating a firewall around your pods.

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all-ingress
  namespace: default
spec:
  podSelector: {}
  policyTypes:
    - Ingress

Secure Secrets Management

Sensitive information like API keys, database passwords, and private certificates should never be hardcoded into images or configuration files.

Use Kubernetes Secrets, HashiCorp Vault, or cloud-specific secret managers to store and inject secrets securely at runtime.

apiVersion: v1
kind: Secret
metadata:
  name: my-app-secret
type: Opaque
data:
  api_key: YmFzZTY0ZW5jb2RlZHNlY3JldA== # base64 encoded value
  db_password: cGFzc3dvcmQ=

Runtime Security & Monitoring

Even with robust build-time security, runtime protection is crucial. Monitor container behavior for suspicious activities.

Tools like Falco can detect anomalous process execution, unauthorized file access, or unexpected network connections within your containers.

Kubernetes Security Contexts

Security Contexts in Kubernetes allow you to define privilege and access control settings for a Pod or Container.

You can specify settings like running as a non-root user, dropping Linux capabilities, or configuring SELinux/AppArmor profiles.

apiVersion: v1
kind: Pod
metadata:
  name: secure-pod
spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
    fsGroup: 2000
  containers:
  - name: my-container
    image: my-image
    securityContext:
      allowPrivilegeEscalation: false
      capabilities:
        drop: ["ALL"]

Quick Check: Image Security

Which of the following are best practices for securing container images?

Container Security Recap

In this lesson, we covered key aspects of securing containerized applications:

Minimizing image size and using trusted base images.
Applying the principle of least privilege.
Regularly scanning images for vulnerabilities.
Controlling network access with Kubernetes Network Policies.
Managing secrets securely.
Monitoring containers at runtime for suspicious activity.
Enforcing security settings with Kubernetes Security Contexts.

By following these practices, you can significantly enhance the security posture of your Docker and Kubernetes deployments.

よくある質問

「コンテナセキュリティ（Docker/Kubernetes）」レッスンは無料ですか？

はい。「コンテナセキュリティ（Docker/Kubernetes）」の完全なテキストはこのウェブで無料で読めます。インタラクティブに演習し（組み込みコードエディタと24時間対応のAIチューター）、Secure Coding & OWASP Top 10 for Backendコースの残りをアンロックするには、CoddyKit PROにアップグレードしてください。 Secure Coding & OWASP Top 10 for Backendコースには全4レッスンが含まれています。

「コンテナセキュリティ（Docker/Kubernetes）」で何を学びますか？

イメージスキャンやネットワークポリシーなど、DockerおよびKubernetesを使用したコンテナ化アプリケーションの構築、デプロイ、管理における安全な手法を実装します。ブラウザで直接実行するハンズオンコードでSecure Coding & OWASP Top 10 for Backendを演習し、24時間対応のAIチューターがレッスンを進める中での質問に答えます。

Secure Coding & OWASP Top 10 for Backendを始めるのに経験は必要ですか？

事前経験は必要ありません。CoddyKitのSecure Coding & OWASP Top 10 for Backendは初級者から上級者向けに構成されているため、ここから始めるか最初から始めて、自分のペースで進むことができます。これはレッスン2/4です。

「コンテナセキュリティ（Docker/Kubernetes）」レッスンにはどのくらい時間がかかりますか？

ほとんどのCoddyKitレッスンは約5～10分かかります。各レッスンはコンパクトでインタラクティブなので、着実に進歩し、ウェブとアプリ全体で正確に前回の場所から再開できます。

このSecure Coding & OWASP Top 10 for Backendレッスンでコードを書いて実行できますか？

はい。すべてのSecure Coding & OWASP Top 10 for Backendレッスンに組み込みコードエディタが含まれているため、ブラウザでリアルコードを書いて実行し、即座のAIフィードバックを取得できます。ローカル設定は不要です。

このコースのすべてのレッスン

← Secure Coding & OWASP Top 10 for Backendに戻る