絵ではじめるKubernetesセキュリティ

2026-09-16 Kubernetes祭り #2
で登壇したときの資料です

Transcript

1. 絵ではじめる Kubernetesセキュリティ 高橋あおい
2. 自己紹介 名前：高橋あおい SRE CNCFアンバサダー Kubestronaut 著書：つくって壊して直して学ぶ Kubernetes入門など twitter: @_a0i 絵や漫画を描いています
3. 登壇に興味ある方！
4. YAPC冷やかしに来てください！
5. CKSをとった時に得た知見をみなさんにお裾分け • Kubernetesセキュリティを知っていても、意外と体系的に 学ぶ機会は少ない • これを機に「なあんだこれくらい知ってれば大丈夫か」と自 信を持ってもらったり、足りない要素を足してもらう機会に なれば • 私はセキュリティのプロではないです🙏
6. 目次 • 知っている人も多そう ◦ Secret、RBAC、Service Account • 名前は知っているかな ◦ PSS、PSA、Admission Controller ◦ Network Policy ◦ gVisor ◦ trivy • 使い方わからない... ◦ kube-bench、Falco、AppArmor
7. 知っている人も多そう
8. Secret • 秘密情報を入れるリソース • データはbase64で入れるだけなので、参照権限さえあれば 誰でも中身を見ることができる • etcdの設定でSecretをencryptionするかどうか設定するこ とができる←CKSの出題範囲
9. Secret
10. （おさらい）認証と認可
11. ServiceAccount、RBACの関係
12. ServiceAccount • 人間以外のためのアカウント • Namespaced • 認証認可に使われる
13. Role,RoleBinding • Role：何ができるか、が書かれている • RoleBinding：ServiceAccountとRoleを紐づけるためのリ ソース
14. 名前は知っているかな
15. Admission Controller • • Kubernetesのリクエストをインターセプトする仕組み 設定は2種類 ◦ Validation : 設定を拒否する ◦ Mutation: 設定を追記修正する apiVersion: apps/v1 kind: Deployment … spec: hostPID: true containers: - name: kubecon-shopping securityContext: privileged: true … Validation Not created … spec: hostPID: false … securityContext: privileged: false … Mutation corrected and created
16. Pod Security Standards(PSS) Pod Security Admission(PSA) PSSを適用するためのAdmission Controller（Validation）がPSA。
17. Gateway API 2023年にGAしたAPI • Ingressの後継 •
18. Network Policy • Pod間通信を制御する apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: test-network-policy namespace: default spec: podSelector: matchLabels: role: db policyTypes: - Ingress - Egress ingress: - from: - podSelector: matchLabels: role: frontend ports: - protocol: TCP port: 6379 egress: - to: - ipBlock: cidr: 10.0.0.0/24 ports: - protocol: TCP port: 5978
19. • 低レベルランタイム • 通常使われるruncよりも セキュリティレベルが高い apiVersion: node.k8s.io/v1 kind: RuntimeClass metadata: name: gvisor handler: runsc
20. • Aqua社が提供するセキュリティスキャンツール イメージスキャンの例 trivy image python:3.4-alpine
21. 使い方わからない...
22. • Aqua社のCIS Kubernetesベンチマークに基づきKubernetes クラスタをチェックするツール • kube-benchの中身がtrivyに取り込まれている • trivyもkube-benchも両方試験に出る
23. Falkey • ランタイムセキュリティツール • Linuxカーネルイベント等にカスタムルールを適用し、コン テキストを付加してリアルタイムアラートを出力する カスタムルールの例 - rule: Create Symlink Over Sensitive Files desc: > Detect symlinks created over a curated list of sensitive files or subdirectories under /etc/ or root directories. Can be customized as needed. Refer to further and equivalent guidance within the rule "Read sensitive file untrusted". condition: > create_symlink and (evt.arg.target in (sensitive_file_names) or evt.arg.target in (sensitive_directory_names)) output: Symlinks created over sensitive files | target=%evt.arg.target linkpath=%evt.arg.linkpath evt_type=%evt.type user=%user.name user_uid=%user.uid user_loginuid=%user.loginuid process=%proc.name proc_exepath=%proc.exepath parent=%proc.pname command=%proc.cmdline terminal=%proc.tty priority: WARNING tags: [maturity_stable, host, container, filesystem, mitre_credential_access, T1555]
24. • Linuxのセキュリティモジュール • プロファイルを書くことで色々な制約を設けることができる #include <tunables/global> 例えばこれはファイルの書き込みをす べてブロックする profile k8s-apparmor-example-deny-write flags=(attach_disconnected) { #include <abstractions/base> file, # Deny all file writes. deny /** w, }
25. 今日の話に興味が出た方は... • CKS申し込みサイト https://training.linuxfoundation.org/ja/certification/ce rtified-kubernetes-security-specialist/ • 本（CKSに直接関係するわけではないが Kubernetesのセキュリティをもっと ちゃんと学びたい方におすすめ）
26. 今読んでいる途中の本 おもしろいです