強化されたクラウドセキュリティ：Kubernetes セキュリティの 4 つの重要な実践#
元の著者：Upkar Lidder は、Tenable のシニアプロダクトマネージャーです。彼は 10 年以上の IT 開発の経験を持ち、チームマネジメント、機能リーダーシップ、および技術リーダーシップの役割を含む。彼はフルスタックの技術経験を持ち込んでいます。Upkar は現在、セキュリティと DevSecOps におけるシフトレフト、コンテナ、およびクラウドネイティブ環境に特化しています。
翻訳者：BlueDog
現在の急速に発展しているクラウド環境では、組織にとって Kubernetes 環境の強力なセキュリティ対策を確保することが非常に重要になっています。クラウドネイティブインフラストラクチャの利点は否定できませんが、セキュリティチームはしばしば Kubernetes の管理コアのセキュリティの難問に取り組むのが難しいと感じています。彼らは、セキュリティを標準の開発者ワークフローやクラスタの展開に組み込む方法が必要であることを知っていますが、結局のところ、連続的で安全な GitOps を作成することは非常に困難です。
この記事では、即座に実施できる 4 つの重要なベストプラクティスについて詳しく調査し、Kubernetes デプロイのセキュリティを強化し、クラウドネイティブインフラストラクチャを保護する方法について説明します。
可能な限り信頼性のあるポリシーで Kubernetes の誤った構成を管理する#
信頼性のあるポリシーの構築と実施は、Kubernetes のセキュリティを強化するための第一歩です。開発ライフサイクル全体で一貫してポリシーを適用することは、誤った構成を減らし、セキュリティリスクを低減するのに役立ちます。たとえば、ポリシーは、ルート権限でのコンテナの実行を禁止したり、Kubernetes API サーバへの一般的なアクセスを制限したりすることができます。Open Policy Agent（OPA）などのポリシーフレームワークや、業界基準である CIS（Center for Internet Security）などを活用することで、Kubernetes 環境を強化し、誤った構成が本番環境に影響を与えるのを防ぐことができます。定期的にポリシーを見直し、変化するセキュリティ要件に適応させることが重要です。
開発プロセスでセキュリティ対策を実装する#
Kubernetes のセキュリティは、開発プロセスの早い段階から始めるべきです。チームがインフラストラクチャのコード化（IaC）のプラクティスを採用してシステムの設定とデプロイを行っている場合、このアプローチをポリシーのコード化にも拡張することができます。これにより、ソフトウェア開発ライフサイクル全体でセキュリティポリシーを一貫して適用することができます。開発者は、セキュリティスキャンツールを活用して、コード内の脆弱性をローカルテスト、継続的インテグレーション / 継続的デリバリー（CI/CD）パイプライン、コンテナイメージレジストリ、および Kubernetes 環境で特定することができます。オープンソースの IaC 静的コードスキャンツールなど、開発者向けのユーザーフレンドリーなツールを活用することで、セキュリティを開発プロセスにシームレスに統合し、安全でないコードが環境に入るのを防ぐことができます。
コンテナイメージの脆弱性を理解し修正する#
コンテナイメージの脆弱性は、Kubernetes のセキュリティに重大な課題をもたらします。環境内でコンテナイメージの内容と構築方法を理解することは非常に重要です。開発者は、開発プロセスを遅くすることを心配して、イメージスキャンを無視することがよくあります。しかし、古いオペレーティングシステム（OS）イメージ、誤った設定、埋め込まれた資格情報や機密情報、検証されていないパッケージ、不要なサービス、および公開されたポートを無視すると、セキュリティリスクが発生し、最終的にはソフトウェアデリバリープロセス全体が遅くなります。コンテナイメージ内の脆弱性を検出し修正するために包括的なスキャンプロセスを実施してください。同時に、レジストリとホストインフラストラクチャのセキュリティにも注意を払ってください。
総合的なリスク管理#
Kubernetes のセキュリティを効果的に管理するためには、インフラストラクチャ全体を総合的に考える必要があります。すべてのポリシーがすべての状況に適用されるわけではないため、除外ルールをどのように適用するかをどのように決定しますか？すべての脆弱性が重要ではないため、修正の優先順位をどのように決定し、自動化するかをどのように決定しますか？これらの問題は、あなたを受動的ではなく積極的にすることができます。最終的には、Kubernetes とクラウドネイティブ環境では、セキュリティを管理するために可視性が非常に重要です。セキュリティベースラインからの設定の逸脱や、失敗したポリシーや誤った構成を特定する必要があります。これにより、攻撃面の状況を完全に把握することができます。