見出し画像

Kubernetesのセキュリティを高める「Pod Security Standards」の活用法

toshi

Kubernetesを運用する際、セキュリティは重要なテーマの一つですよね。特に「Pod Security Standards (PSS)」は、Podが不要な操作を行わないよう制限する取り組みとして有名です。PSSの中でも「baseline」を適用すると、PodがKubernetesのノード（実際のサーバーや仮想マシン）が持つ重要なリソースにアクセスできないよう、さまざまな制約が課されます。今回は、これらのリソースとは何か、そして具体的にどのような制限が設けられるのかを見ていきます。

Kubernetesノードの重要なリソースとは？

ノードの重要なリソースとは、Kubernetesクラスタを安全に運用するために守るべき要素のことです。少し身近な例で考えると、「家の中にある貴重品」に似ています。
例えば、家族の大事な書類やパスポート、銀行口座情報など。これらは家族以外には触れてほしくないものですよね。同じように、Kubernetesノードにも外部からのアクセスを防ぐべき大事なリソースがあります。

主なノードの重要リソース

以下はその代表例です：

  • ファイルシステム（例：設定ファイルやOSの重要データ）

  • ネットワークインターフェース（通信を管理する部分）

  • 実行中のプロセス（ノード上で動作しているプログラムやサービス）

  • デバイス（GPUやディスクなどのハードウェア）

これらのリソースにPodが自由にアクセスできると、セキュリティのリスクが高まります。

baselineでの主な制限内容

「baseline」は、Kubernetesクラスタをセキュアに保つための最低限のセキュリティ基準を提供します。これを適用すると、以下のような制限が課されます。

(1) 重要ディレクトリのマウント制限

Podがノードの重要なディレクトリをマウントすることは禁止されます。具体的には、以下のような場所です：

  • /etc

  • /proc

  • /sys

  • /var/lib/kubelet

  • /var/run/docker.sock

これらはノードの動作に深く関わるディレクトリで、マウントできる状態にしてしまうとノード全体に影響を与えかねません。

例えるなら、大事な家の鍵や金庫の中身を知らない人に明け渡してしまうようなものです。

(2) hostPathボリュームの制限

Podがホストの特定のパスを直接マウントするhostPathボリュームの使用も制限されます。

volumes:
- name: restricted-host-path
  hostPath:
    path: /etc

このような設定は、ホスト上の重要ファイルへの直接アクセスを許してしまうため推奨されません。

(3) 特権モードの禁止

Podをprivileged: trueで起動することは禁止されています。
特権モードは、Podにホストと同等の権限を与える設定です。これを許可してしまうと、鍵をかけた部屋の中で勝手に金庫を開けられてしまうような状態になります。

(4) 危険な権限（CAP_SYS_ADMIN）の制限

PodにCAP_SYS_ADMINといった強力な権限を与えることも制限されます。この権限があると、ノード上で幅広い操作が可能になるため、セキュリティリスクが大きくなります。

(5) ホストネットワークの使用制限

PodがhostNetwork: trueを設定し、ノードのネットワークを直接利用することも禁止されています。
これを許可してしまうと、ノードのネットワークインターフェースを通じて外部への不正アクセスが発生する可能性があります。

ノードを守る意義

これらの制限は、Kubernetesクラスタの安全性を保つために重要です。もう少し身近なイメージで考えると、次のようなメリットがあります。

(1) ノードの乗っ取り防止

泥棒が家に入るのを防ぐために鍵をかけるように、Podからノードのリソースを守ることで、悪意ある攻撃を防ぎます。

(2) 複数利用者の環境を守る

一つの家に複数の家族が住む場合、それぞれの部屋を分けることで安心して暮らせます。同様に、Kubernetesクラスタでは、異なるチームやアプリケーションが安全に共存できるようにすることが大切です。

まとめ

KubernetesのPod Security Standardsの「baseline」を適用することで、Podがノードの重要リソースにアクセスできる状況を防ぎ、クラスタ全体のセキュリティを向上させられます。これにより、不正アクセスやリスクを最小限に抑えることが可能です。

安全な環境を維持するために、まずはbaselineの適用を検討してみてください。さらに高度なセキュリティが必要であれば、「restricted」の利用も視野に入れてみましょう。クラスタの健全性を守ることが、長期的な運用の成功につながります。

いいなと思ったら応援しよう！