Lock in $30 Savings on PRO—Offer Ends Soon! ⏳

Lizさんに届け! AWS Jr. ChampionとTop Engineerが 書籍コンテナ...

x-blood
October 16, 2023

Lizさんに届け! AWS Jr. ChampionとTop Engineerが 書籍コンテナセキュリティを読んで感じたこと

x-blood

October 16, 2023
Tweet

More Decks by x-blood

Other Decks in Technology

Transcript

  1. Lizさんに届け︕ AWS Jr. ChampionとTop Engineerが 書籍コンテナセキュリティを読んで 感じたこと 廣原 花⾳ &

    佐藤 靖幸 JAWS-UG コンテナ⽀部 x JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 1
  2. 本セッション(LT)について 本セッションでは、Japan AWS Jr. Champion として表彰された コンテナ初⼼者の視点で書籍コンテナセキュリティを 読んだ感想や、保護者的な⽴ち位置の Japan AWS

    Top Engineer が実践していること、 そしてAWSのコンテナ関連の機能追加についてお話します。 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 2
  3. ⾃⼰紹介 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 3

    廣原 花⾳(hiropy) @hiropy6387 好きな領域 フロント開発 バックエンド開発 クラウドインフラ(AWS) 好きなAWSサービス ControlTower
  4. ⾃⼰紹介 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 4

    佐藤 靖幸 @yasai_ls 得意領域 バックエンド開発 クラウドインフラ(AWS) © 佐藤靖幸 2023
  5. HiropyのJr.Champions活動について APN参加企業に所属する若⼿エンジニアが 未来のTop Engineersを⽬指しガンガン活動中︕ • 限定イベントへの参加 • Jr.Champions内での勉強会。 • 最近はTop

    Engineersも巻き込み中 • 社外イベントへの登壇 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 5 AWS界全体を若⼿の⼒で盛り上げていきます︕
  6. アジェンダ 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 6

    書籍「コンテナセキュリティ」を読了してみて コンテナセキュリティの取り組みで実践したこと AWS Security Hub による Amazon ECS コントロール ECRイメージの脆弱性スキャン Amazon EKS における GitOps その他の取り組み AWSにおけるコンテナセキュリティの機能トピック AWS Signer EKSクラスター 拡張サポート まとめ
  7. 読書感想 – From 廣原 • コンテナセキュリティ初⼼者なので、 そもそものコンテナの仕組みから触れていただくことで 「なぜこの脅威が発⽣するのか」から知ることができました。 • Docker

    buildの危険性については、そもそも考えたことが なかったので、何事にも脅威は潜んでいることを 改めて認識させられました。 • CI/CDを組む時のセキュリティも何となくしか 知らなかったので、特に「マルチステージビルドにして サイズを⼩さくし、攻撃の範囲を狭くする」は とても勉強になりました。 • 個⼈的にはコマンドがあるのが嬉しいです。 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 8
  8. 読書感想 – From 佐藤 • 脅威の定義・関係するアクター・攻撃⼿段が明確に 記載されており、体系的な知識を網羅する書籍として ⼤変重宝しています。 • 最後のチェックリストは神がかっている。業務でそのまま

    利⽤してもよいくらいに。 • コンテナセキュリティのはじめの1歩は Linuxの権限制御の仕組みを知ること。 • コンテナのビルドは継続的デプロイの仕組みを利⽤して ⾃動化を徹底したほうがよさそう。 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 9
  9. AWS Security Hub による Amazon ECS コントロール 2023/10/16 JAWS-UG コンテナ⽀部

    × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 11 Amazon ECS コントロール [ECS.1] Amazon ECS タスク定義には、セキュアなネットワークモードと ユーザー定義が必要です。 [ECS.2] ECS サービスには、パブリック IP アドレスを ⾃動で割り当てないでください [ECS.3] ECS タスクの定義では、ホストのプロセス名前空間を 共有しないでください [ECS.4] ECS コンテナは、⾮特権として実⾏する必要があります [ECS.5] ECS コンテナは、ルートファイルシステムへの 読み取り専⽤アクセスに制限する必要があります。 [ECS.8] シークレットは、コンテナ環境の変数として渡さないでください [ECS.10] ECS Fargate サービスは、最新の Fargate プラットフォームバージョンで実⾏する必要があります。 [ECS.12] ECS クラスターはコンテナインサイトを使⽤する必要があります
  10. その他の取り組み • Synkによる脆弱性スキャンのシフトレフト • kubesec や ArgoCD Vault Pluginによるシークレット管理 2023/10/16

    JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 14 https://blog.mmmcorp.co.jp/2022/02/24/yassan-argocd-with-aws-secrets-manager/
  11. AWS Signer • AWSのコード署名機能である AWS Signerがコード署名だけ でなく、コンテナイメージの 署名をサポート • ECRのOCIディストリビューショ

    ン機能を使⽤して署名情報を イメージと⼀緒に格納可能 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 16
  12. AWS Signer with EKS • EKSでDynamic Admission Controlを⽤いて、Podのデプロ イメントを⾏うタイミングでコ ンテナイメージの署名を検証す

    ることが出来る。 • OSS プロジェクト kyverno-notation-aws がある 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 17
  13. Amazon EKSクラスター 拡張サポート • Amazon EKSは常に少なくとも4つの Kubernetesバージョンをサポート • 拡張サポートは、初期サポートで14ヶ⽉、 拡張サポートで12ヶ⽉の合計26ヶ⽉、

    Kubernetesのバージョンを実⾏可能 • 現在はプレビュー中のため無料。2024年 初頭に拡張サポートが⼀般提供されると 時間毎に追加料⾦が発⽣ 2023/10/16 JAWS-UG コンテナ⽀部 × JAWS-UG 千葉⽀部 #1 今知りたいコンテナセキュリティ 18