Slide 1

Slide 1 text

Lizさんに届け︕ AWS Jr. ChampionとTop Engineerが 書籍コンテナセキュリティを読んで 感じたこと 廣原 花⾳ & 佐藤 靖幸 JAWS-UG コンテナ⽀部 x JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 1

Slide 2

Slide 2 text

本セッション(LT)について 本セッションでは、Japan AWS Jr. Champion として表彰された コンテナ初⼼者の視点で書籍コンテナセキュリティを 読んだ感想や、保護者的な⽴ち位置の Japan AWS Top Engineer が実践していること、 そしてAWSのコンテナ関連の機能追加についてお話します。 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 2

Slide 3

Slide 3 text

⾃⼰紹介 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 3 廣原 花⾳(hiropy) @hiropy6387 好きな領域 フロント開発 バックエンド開発 クラウドインフラ(AWS) 好きなAWSサービス ControlTower

Slide 4

Slide 4 text

⾃⼰紹介 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 4 佐藤 靖幸 @yasai_ls 得意領域 バックエンド開発 クラウドインフラ(AWS) © 佐藤靖幸 2023

Slide 5

Slide 5 text

HiropyのJr.Champions活動について APN参加企業に所属する若⼿エンジニアが 未来のTop Engineersを⽬指しガンガン活動中︕ • 限定イベントへの参加 • Jr.Champions内での勉強会。 • 最近はTop Engineersも巻き込み中 • 社外イベントへの登壇 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 5 AWS界全体を若⼿の⼒で盛り上げていきます︕

Slide 6

Slide 6 text

アジェンダ 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 6 書籍「コンテナセキュリティ」を読了してみて コンテナセキュリティの取り組みで実践したこと AWS Security Hub による Amazon ECS コントロール ECRイメージの脆弱性スキャン Amazon EKS における GitOps その他の取り組み AWSにおけるコンテナセキュリティの機能トピック AWS Signer EKSクラスター 拡張サポート まとめ

Slide 7

Slide 7 text

書籍「コンテナセキュリティ」を 読了してみて 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 7

Slide 8

Slide 8 text

読書感想 – From 廣原 • コンテナセキュリティ初⼼者なので、 そもそものコンテナの仕組みから触れていただくことで 「なぜこの脅威が発⽣するのか」から知ることができました。 • Docker buildの危険性については、そもそも考えたことが なかったので、何事にも脅威は潜んでいることを 改めて認識させられました。 • CI/CDを組む時のセキュリティも何となくしか 知らなかったので、特に「マルチステージビルドにして サイズを⼩さくし、攻撃の範囲を狭くする」は とても勉強になりました。 • 個⼈的にはコマンドがあるのが嬉しいです。 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 8

Slide 9

Slide 9 text

読書感想 – From 佐藤 • 脅威の定義・関係するアクター・攻撃⼿段が明確に 記載されており、体系的な知識を網羅する書籍として ⼤変重宝しています。 • 最後のチェックリストは神がかっている。業務でそのまま 利⽤してもよいくらいに。 • コンテナセキュリティのはじめの1歩は Linuxの権限制御の仕組みを知ること。 • コンテナのビルドは継続的デプロイの仕組みを利⽤して ⾃動化を徹底したほうがよさそう。 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 9

Slide 10

Slide 10 text

コンテナセキュリティの取り組みで 実践したこと 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 10

Slide 11

Slide 11 text

AWS Security Hub による Amazon ECS コントロール 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 11 Amazon ECS コントロール [ECS.1] Amazon ECS タスク定義には、セキュアなネットワークモードと ユーザー定義が必要です。 [ECS.2] ECS サービスには、パブリック IP アドレスを ⾃動で割り当てないでください [ECS.3] ECS タスクの定義では、ホストのプロセス名前空間を 共有しないでください [ECS.4] ECS コンテナは、⾮特権として実⾏する必要があります [ECS.5] ECS コンテナは、ルートファイルシステムへの 読み取り専⽤アクセスに制限する必要があります。 [ECS.8] シークレットは、コンテナ環境の変数として渡さないでください [ECS.10] ECS Fargate サービスは、最新の Fargate プラットフォームバージョンで実⾏する必要があります。 [ECS.12] ECS クラスターはコンテナインサイトを使⽤する必要があります

Slide 12

Slide 12 text

ECRイメージの脆弱性スキャン • ECRのイメージスキャン機能によるスキャン • Amazon Inspector V2による拡張スキャン 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 12

Slide 13

Slide 13 text

Amazon EKS における GitOPS 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 13

Slide 14

Slide 14 text

その他の取り組み • Synkによる脆弱性スキャンのシフトレフト • kubesec や ArgoCD Vault Pluginによるシークレット管理 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 14 https://blog.mmmcorp.co.jp/2022/02/24/yassan-argocd-with-aws-secrets-manager/

Slide 15

Slide 15 text

AWSにおけるコンテナセキュリティの 気になるトピック 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 15 今をときめくAWSにおける コンテナセキュリティの トピック

Slide 16

Slide 16 text

AWS Signer • AWSのコード署名機能である AWS Signerがコード署名だけ でなく、コンテナイメージの 署名をサポート • ECRのOCIディストリビューショ ン機能を使⽤して署名情報を イメージと⼀緒に格納可能 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 16

Slide 17

Slide 17 text

AWS Signer with EKS • EKSでDynamic Admission Controlを⽤いて、Podのデプロ イメントを⾏うタイミングでコ ンテナイメージの署名を検証す ることが出来る。 • OSS プロジェクト kyverno-notation-aws がある 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 17

Slide 18

Slide 18 text

Amazon EKSクラスター 拡張サポート • Amazon EKSは常に少なくとも4つの Kubernetesバージョンをサポート • 拡張サポートは、初期サポートで14ヶ⽉、 拡張サポートで12ヶ⽉の合計26ヶ⽉、 Kubernetesのバージョンを実⾏可能 • 現在はプレビュー中のため無料。2024年 初頭に拡張サポートが⼀般提供されると 時間毎に追加料⾦が発⽣ 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 18

Slide 19

Slide 19 text

まとめ 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 19

Slide 20

Slide 20 text

書籍コンテナセキュリティを読んで コンテナセキュリティに取り組もう︕ • コンテナ初⼼者・経験者の視点で書籍コンテナセキュリティを 読了した感想をお届けしました︕ • 書籍コンテナセキュリティはとてもいい本です︕ 本書を読んで、コンテナセキュリティに 取り組んでいきましょう︕ 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 20

Slide 21

Slide 21 text

2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 21