Download to read offline
![JPC2018[H4]マイクロソフトの Azure オープン ソース戦略とパートナー エコシステム](https://cdn.slidesharecdn.com/ss_thumbnails/h4-180906034209-thumbnail.jpg?width=640&height=640&fit=bounds)
Operating kubernetes clusters and applications safely
- 1.
- 2. Copyright© Creationline,inc. Allrights reserved. 2 社名：クリエーションライン株式会社 代表：安田 忠弘 設立：2006年1月 資本金：215,572,000円（資本準備金を含む） 従業員数：130名（業務委託/契約社員含む）
- 3. Copyright© Creationline,inc. Allrights reserved. 3 製品取扱の推移 Chef GitLa b Docker Elasti c MongoDB Hashicorp Neo4j 取扱OSS製品の推移 Products Handling History 2018 2012 2014 2015 2016 2006 創業 2009 201 1 Aqua Security2017
- 4. Copyright© Creationline,inc. Allrights reserved. 日本国内で唯一Kubernetes Certified Service Providerと Kubernetes Training Partner を所有する事業会社です。 4 Kubernetes Certifcation
- 5. Copyright© Creationline,inc. Allrights reserved. • 2018年より、Kubernetesのセキュリティソリュ ーションとしてAqua Security社と販社契約を締 結、日本国内で販売開始 5
- 6. Kubernetesの導入時こそ、 ITセキュリティを見直す好機！ クリエーションライン （株） CSO （ChiefStrategy Officer)：鈴木いっぺい
- 7. Operating Kubernetes Clusters andApplications Safely • Kubernetes上でアプリ運用を セキュアに行うための考え方 を簡潔に説明 • Aqua Security社の推進する DevSecOpsのコンセプトの源 にもなっている。
- 8.
- 9. K8S固有の攻撃方法は複数存在 マシン／VM へ直接アクセス K8S APIもしくは プロキシ経由 Kublet API経由 コンテナの脆弱性、 もしくはボリューム マウントから データ流出 etcd API へ アクセス Control Planeへの データの流れを インターセプト アプリへの トラフィックを インターセプト アプリへに脆弱性 を埋め込む
- 10.
- 11. 4つのキーポイント 1. セキュアなKubernetes環境の設 定 2. アプリへの攻撃から守る 3.秘密情報の管理 4. 他、固有な条件／攻撃への対応
- 12.
- 13.
- 14. APIサーバ設定 --insecure-port flag を0 に --insecure-bind-address が設定されて いない事を確認 セキュアでないポートを閉じる TLSコネクションを通したAPIはセキュ アなポートからのみアクセス可能 API サーバ Kubelet etcd の安全な運用 Kubernetes ダッシュボード 設定情報の検証 クラスタの保護
- 15. 認証されたリクエストのみにAPIアク セスを許容（匿名のリクエストは拒否 ）—anonymous-auth=false アクセス制御を強化（認証されないア クションは阻止） Kubelet 証明書のロテーション （—rotate-certificates の設定で証明書 の自動的なロテーションを提供） APIサーバ Kubelet etcd の安全な運用 Kubernetes ダッシュボード 設定情報の検証 クラスタの保護
- 16. etcdへのアクセスは、認証された 場合のみに限定 さらに、etcd上で管理されるデー タは暗号化 API サーバ Kubelet etcd の安全な運用 Kubernetesダッシュボード 設定情報の検証 クラスタの保護
- 17.
- 18. CIS セキュリティベンチマーク デプロイメントの設定のベストプラク ティス情報を参照する 侵入テスト 侵入テストの専門家を採用 kube-hunterを活用 API サーバ Kubelet etcdの安全な運用 Kubernetes ダッシュボード 設定情報の検証 クラスタの保護
- 19.
- 20.
- 21.
- 22. 静的なパスワード、もしくはトークンファイ ル X.509 証明書 OpenID Connect(OIDC) Bootstrap トークン LDAP、SAML、Kerberos 認証プロキシ Webhook トークン認証 ID管理 認証コンセプト 認証戦略 ツールやベストプラクティス
- 23. Keycloak 既存LDAPサーバとの接続を提供するIAMソリューション Dex アプリの認証にOIDCをサポート AWS IAM Authenticatorfor Kubernetes アマゾンとHeptio社が開発 Guard LDAPに加え、GitHub、GoogleのID管理プロバイダーを Kubernetesへのログインをサポート ID管理 認証コンセプト 認証戦略 ツールやベストプラクティス 認証
- 24.
- 25.
- 26. Node 承認 搭載されるポッド上にKubletの稼働承認を行う 属性ベースのアクセス管理 (ABAC) ユーザ属性、リソース属性、オブジェクト、等 ウェブフック HTTPコールバック機能：K8s外部承認 ロールベースのアクセス管理(RBAC) ベストプラクティス Kubernetesが提供するデフォルトのロール 承認のコンセプト 承認のモード RBACを利用したアクセス管理 ツールやベストプラクティス
- 27.
- 28.
- 29. エンドユーザ向けのロール 例：cluster-admin, admin, edit,view Control Planeコンポーネント 例：system:kube-controller-manager, system:node その他のコンポーネント 例：system:persistent-volume-provisioner（動的ボリュームプロ ビジョニング） Kubernetesが提供するデフォルトのロー ル
- 30. ツールやベストプラクティ ス audit2rbac 特定のアプリに必要な許可を自動的に決定しRBACロールやバインディングを設定 rbac-manager ロールバインディングやサービスアカウントの管理を容易にするKubernetesオペレータ kube2iam Annotationに基づいてAWS IAM設定情報をコンテナに提供する ベストプラクティス RBACを使用する Kubernetsバージョンは、1.8以降にする -- authorization-mode=RBACパラメタをAPIサーバに引き渡す デフォルトサービスアカウントのトークンを無効にする 専用のサービスアカウントを使用する
- 31.
- 32.
- 33.
- 34.
- 35.
- 36.
- 37.
- 38.
- 39.
- 40. セキュアにコンテナを運用 ルート権限は基本的に使わない 例外事項 ホストシステムに対してルート権限で変更 ノードに対して特定のポートをバインド ランタイム時にコンテナ内にソフトウェアをインストール Admission Control 機能 クラスタの管理者として設定可能なAdmissionController機能が30以上APIサーバ内 に存在する。 セキュリティの境界線 ポリシー セキュリティポリシー ネットワークポリシー
- 41.
- 42.
- 43. 秘密情報の管理 シークレットをコンテナ内のコードに引き渡す イメージ内においてシークレットをビルドしない 環境変数としてシークレットを引き渡す (12 factorapp manifesto) ファイルに対してシークレットを引き渡す Kubernetesはボリュームマウントされたポッドに対してシーク レットを引き渡す機能はサポート シークレットの定期的変更と無効化 定期的にシークレットの値を変更することにより、攻撃を防止す ることができる
- 44. 秘密情報の管理 コンテナ内からのシークレットへのアクセス コンテナ内のツールが少ないほど、攻撃の可能性は低くなる 。（cat, more, less,等） シークレットを読めるコマンド自体をコンテナ内にビルドし ないことも有効 Kubeletからのシークレットへのアクセス node authorization機能が当該ノードにスケジュールされたノ ードのみに関連したシークレットをKubletがアクセスできる ように制限
- 45.
- 46.
- 47.
- 48. サンドボックス、ランタイム保 護 Sandboxing 同一ホスト上でも、個々のコンテナを分離することにより、任意のコ ンテナ上のコードが他のコンテナに影響を与えないようにする Runtime protection コンテナ内で実行できるコードを限定する方法論 複数のプロジェクト seccomp AppArmor &SELinux Kata Containers gVisor Nabla containers
- 49.
- 50.
- 51.
- 52.
- 53.
- 54.
- 55.
Editor's Notes
- #5 一行説明を入れる。k8sの利点、優位性が簡潔に示せると良い。