Container Service for Kubernetes:セキュリティインスペクター

概要

security-inspector は、クラスター内のワークロード構成をリアルタイムでスキャンし、セキュリティリスクを検出し、堅牢化（ハードニング）に関する推奨事項を提供します。以下の図に、コンポーネントのアーキテクチャを示します。

注意事項

security-inspector は、安全な構成の検査をサポートしています。また、FairwindsOps 社が提供するオープンソースツール「Polaris」と統合されており、Kubernetes ワークロード構成におけるセキュリティリスクをスキャンします。Polaris の詳細については、「Polaris GitHub リポジトリ」をご参照ください。

検査結果は、以下の 5 つのディメンションに分類され、それぞれ特定のリスク領域を対象としています。

• ヘルスチェック：検出されない障害を引き起こす可能性のある、liveness プローブおよび readiness プローブの未設定または誤設定を検出します。

• イメージ：タグの欠落など、安全性に問題のあるコンテナイメージ構成を使用しているものを特定します。

• ネットワーク：不要なネットワークアクセスを公開するワークロード構成を検出します。

• リソース：リソース競合を招く可能性のある、CPU およびメモリ制限の未設定を検出します。

• セキュリティ：権限昇格、環境変数内へのプレーンテキスト形式の AccessKey ペアの格納、不適切な RBAC 権限など、高リスクのセキュリティ設定を検出します。

検査の実行手順については、「ACK クラスター内のワークロードを構成検査で確認する」をご参照ください。

リリースノート

以下の表には、security-inspector のすべてのリリースが一覧表示されています。タイプ 列では、各変更の種別を以下のように分類しています。

• 機能追加：新規の検査機能またはスキャン対象ディメンションの追加

• 修正：バグ修正または CVE パッチ適用

• 安定性向上：機能変更なしの依存関係アップグレード（Go バージョンなど）

• 改善：パフォーマンス、互換性、または構成に関する改善