security-profiles-operatorをさわってみた / try-security-profiles-operator

Kubernetes Meetup Tokyo #47

登壇ふりかえり
Kubernetes Meetup Tokyo #47 で登壇しました

Transcript

1. security-profiles-operatorをさわってみた
   @ngoktanio @oke-py
   2021.11.25 Kubernetes Meetup Tokyo #47
   

   View Slide

2. 本発表の目的
   seccompやAppArmorの
   ● 導入検討のきっかけとなる
   ● 導入、運用事例があったら教えてほしい
   

   View Slide

3. モチベーション
   多層防御（Defense In Depth）の一要素として
   セキュリティプロファイルを利用してみたい
   Certified Kubernetes Security Specialist (CKS) Exam Curriculum
   https://github.com/cncf/curriculum/blob/master/CKS_Curriculum_%20v1.22.pdf
   

   View Slide

4. セキュリティプロファイルの例
   AppArmor, SELinux
   　ファイルアクセスを細かく制御する
   seccomp
   　不要なシステムコールの呼び出しを禁止する
   Docker/Kubernetes開発・運用のためのセキュリティ実践ガイド
   https://book.mynavi.jp/ec/products/detail/id=114099
   

   View Slide

5. Podにseccompプロファイルを適用する方法
   1. ホストでプロファイルを有効化する
   2. Pod定義でプロファイルを指定する
   Restrict a Container's Syscalls with seccomp
   https://kubernetes.io/docs/tutorials/clusters/seccomp/
   

   View Slide

6. セキュリティプロファイルの導入決定（フィクション）
   Sec「全社的にseccompの導入を必須としました」
   Dev「ホストにログインできない。Opsさん、よろしく」
   Ops「サービスごとにプロファイルを変えるのしんどい」
   

   View Slide

7. kubernetes-sigs/security-profiles-operator
   

   View Slide

8. https://github.com/kubernetes-sigs/security-profiles-operator
   

   View Slide

9. security-profile-operatorのインストール
   検証環境
   インストール
   https://github.com/kubernetes-sigs/security-profiles-operator/blob/master/installation-usage.md
   

   View Slide

10. SeccompProfileの適用
    

    View Slide

11. SeccompProfileを利用するPodの実行
    

    View Slide

12. 禁止されているシステムコールを呼び出す
    Operation not permitted !!!
    

    View Slide

13. まとめ
    ● セキュリティプロファイルを利用してより堅牢に
    ● security-profiles-operatorに期待？
    ○ 最新リリース（v0.3.0）は半年以上前・・・
    ○ masterブランチはそれなりに更新されている
    ● SDLCにどう組み込めるか？
    ○ プロファイルの作成、検証が大変そう
    ○ docker-slimを使えばいけそう？
    

    View Slide

14. 参考資料
    Docker/Kubernetes開発・運用のためのセキュリティ実践ガイド
    https://book.mynavi.jp/ec/products/detail/id=114099
    Hacking Kubernetes
    https://www.oreilly.com/library/view/hacking-kubernetes/9781492081722/
    Restrict a Container's Syscalls with seccomp
    https://kubernetes.io/docs/tutorials/clusters/seccomp/
    Restrict a Container's Access to Resources with AppArmor
    https://kubernetes.io/docs/tutorials/clusters/apparmor/
    Kubernetes Security Profiles Operator
    https://github.com/kubernetes-sigs/security-profiles-operator
    Managing Kubernetes seccomp profiles with security profiles operator
    https://medium.com/@LachlanEvenson/managing-kubernetes-seccomp-profiles-with-security-profiles-operator-c768cff58b0
    

    View Slide