アプリケーションセキュリティチェックリスト

このチェックリストは、開発者の観点からKubernetes上で動作するアプリケーションのセキュリティ確保に関する基本的なガイドラインを提供することを目的としています。 このリストは包括的なものではなく、時間の経過とともに発展させていくことを意図しています。

この文書の読み方と使い方について:

• トピックの順序は優先度の順序を反映していません。
• 一部のチェックリスト項目は、各セクションのリストの下の段落で詳しく説明されています。
• このチェックリストでは、開発者とはKubernetesクラスターのユーザーで、名前空間スコープのオブジェクトを操作する人を想定しています。

ベースセキュリティ強化

以下のチェックリストは、Kubernetesにデプロイするほとんどのアプリケーションに適用されるベースセキュリティ強化の推奨事項を提供します。

アプリケーション設計

• アプリケーション設計時に適切なセキュリティ原則に従う。
• リソース要求とリソース制限を通じて適切なQoSクラスでアプリケーションを設定する。
  • ワークロードにメモリ制限を設定し、制限はメモリ要求以上の値にする。
  • 機密性の高いワークロードにはCPU制限を設定してもよい。

サービスアカウント

• default ServiceAccountの使用を避ける。代わりに、各ワークロードまたはマイクロサービス用にServiceAccountを作成する。
• Podの動作にKubernetes APIへのアクセスが特別に必要でない限り、automountServiceAccountTokenをfalseに設定する。

PodレベルのsecurityContextの推奨事項

• runAsNonRoot: trueを設定する。
• より低い権限のユーザーでコンテナを実行するよう設定し(例えば、runAsUserとrunAsGroupを使用する)、コンテナイメージ内のファイルやディレクトリに適切な権限を設定する。
• 永続ボリュームにアクセスする場合は、オプションでfsGroupを使用して補助グループを追加する。
• アプリケーションは、適切なPodセキュリティの標準が適用された名前空間にデプロイする。アプリケーションをデプロイするクラスターでこの適用を制御できない場合は、ドキュメント化または追加の多層防御を通じてこれを考慮に入れる。

コンテナレベルのsecurityContextの推奨事項

• allowPrivilegeEscalation: falseを使用して権限昇格を無効にする。
• readOnlyRootFilesystem: trueでルートファイルシステムを読み取り専用に設定する。
• 特権コンテナの実行を避ける(privileged: falseを設定)。
• コンテナから全てのケイパビリティを削除し、コンテナの動作に必要な特定のケイパビリティのみを追加し直す。

ロールベースアクセス制御(RBAC)

• create、patch、update、deleteなどの権限は、必要な場合のみ付与する。
• 権限昇格につながる可能性があるロールを作成・更新するRBAC権限の作成を避ける。
• system:unauthenticatedグループのバインディングを確認し、可能な限り削除する。これにより、ネットワークレベルでAPIサーバーに接続できる全ての人にアクセス権が与えられることを防ぐ。

create、update、deleteの権限は慎重に許可する必要があります。 patch権限をNamespaceに対して許可すると、ユーザーが名前空間やデプロイメントのラベルを更新できるようになり、攻撃対象領域が拡大する可能性があります。

機密性の高いワークロードについては、許可される書き込みアクションをさらに制限する推奨ValidatingAdmissionPolicyの提供を検討してください。

イメージセキュリティ

• Kubernetesクラスターにコンテナをデプロイする前に、イメージスキャンツールを使用してイメージをスキャンする。
• Kubernetesクラスターにデプロイする前に、コンテナ署名を使用してコンテナイメージの署名を検証する。

ネットワークポリシー

• NetworkPolicyを設定して、Podへの内向きのトラフィックとPodからの外向きのトラフィックで、予期されるもののみを許可する。

クラスターがNetworkPolicyを提供し、適用していることを確認してください。 ユーザーが異なるクラスターにデプロイするアプリケーションを作成している場合、NetworkPolicyが利用可能で適用されているとみなすことができるかどうかを確認してください。

高度なセキュリティ強化

このガイドのこのセクションでは、Kubernetes環境の構成に応じて有用となる可能性があるいくつかの高度なセキュリティ強化ポイントについて説明します。

Linuxコンテナセキュリティ

Podとコンテナ用のSecurity Contextを設定する。

• コンテナのSeccompプロファイルを設定する。
• AppArmorを使用してコンテナのリソースアクセスを制限する。
• コンテナにSELinuxラベルを割り当てる。

ランタイムクラス

• コンテナに適切なランタイムクラスを設定する。

一部のコンテナは、クラスターのデフォルトランタイムが提供するものとは異なる分離レベルを必要とする場合があります。 runtimeClassNameをpodspecで使用して、異なるランタイムクラスを定義できます。

機密性の高いワークロードについては、gVisorなどのカーネルエミュレーションツールや、kata-containersなどのメカニズムを使用した仮想化分離の使用を検討してください。

高い信頼性が要求される環境では、クラスターセキュリティをさらに向上させるために機密仮想マシンの使用を検討してください。