コンテナイメージ署名は、コンテナイメージに信頼できる署名を行い、承認されたイメージのみのデプロイを保証します。これにより、未承認のイメージの起動を防止し、アセットのセキュリティを向上させます。
制限事項
この機能をサポートしているのは、Security CenterのUltimateエディションのみです。 Security Centerの購入とアップグレード方法の詳細については、「Security Centerの購入」および「アップグレードとダウングレード」をご参照ください。
前提条件
非対称キーアルゴリズムで作成された Key Management Service (KMS) キーが必要です。詳細については、「キーの管理」を参照してください。
説明コンテナイメージの署名には、非対称鍵アルゴリズムが必要です。KMS キーを作成するときは、証明書の選択 を RSA_2048 に設定し、[目的] を SIGN/VERIFY に設定します。KMS キーアルゴリズムの詳細については、「KMS でサポートされるアルゴリズム仕様」をご参照ください。
Kubernetes クラスターが作成されており、クラスター内に kritis-validation-hook コンポーネントがインストールされている必要があります。
説明詳細については、「ACK 専用クラスターの作成 (廃止予定)」、「kritis-validation-hook コンポーネントの概要」を参照してください。
コンテナイメージ署名を初めて使用する場合は、クラウドアセットアクセスの権限付与を完了してください。Security Center コンソールで、[Container Image Signing] を選択し、[Authorize] をクリックします。
操作手順
Security Center コンソールにログインします。
左側のナビゲーションペインで、を選択します。
任意：証明者 タブで、証明者を作成します。
証明者を既に作成している場合は、この手順をスキップしてください。
証明者 タブで、証明者の作成 をクリックします。設定を構成し、OK をクリックします。
パラメータ
説明
証明者名
対象コンテナの信頼できる認可を行うために、コンテナイメージ署名セキュリティポリシーを設定する際に選択する証明者の名前です。わかりやすい名前を使用してください。
証明書
証明書リストから、作成した KMS キーを選択します。
Note
証明者の説明を入力します。
セキュリティポリシー タブで、ポリシーの追加 をクリックします。パラメーターを設定し、OK をクリックします。
パラメータ
説明
ポリシー名
署名セキュリティポリシーを設定する際に、対象クラスターの信頼できる認可のために証明者を選択します。
わかりやすい名前を使用してください。
証明者
証明者リストから、作成した証明者を選択します。
クラスター
コンテナイメージの署名が必要なクラスターグループをクリックし、対象のクラスター名前空間を選択します。
ポリシーステータス
スイッチをオンにすると、作成後すぐにポリシーが有効になります。
説明ポリシーはデフォルトで無効になっています。無効なポリシーは有効になりません。
Note
セキュリティポリシーの説明を入力します。
コンテナイメージ署名セキュリティポリシーを作成して有効にすると、ポリシーが有効化されたコンテナイメージは、Container Registry コンソールで署名済みとラベル付けされます。
参考
Container Registry (ACR)、Key Management Service (KMS)、kritis-validation-hook コンポーネント、および Security Center を組み合わせて使用することで、コンテナイメージ署名を自動的に検証できます。これにより、信頼された署名者によって署名されたイメージのみがデプロイされることが保証され、環境内の予期しないコードや悪意のあるコードのリスクが軽減されます。詳細については、「kritis-validation-hook によるコンテナイメージ署名の検証」を参照してください。