Security Center:クラスターとイメージの管理

サポートされるクラスタータイプ

• Container Service for Kubernetes (ACK) で作成されたマネージドクラスターと専用クラスター。

  Security Center は、これらの資産を毎日深夜 0 時に自動的に同期します。新しいクラスターを作成した場合は、Cluster タブに移動し、Cluster をクリックして手動で同期してください。

• セルフマネージド K8s クラスター。

クラスター情報の表示

1. Security Center コンソールにログインします。

2. 左側のナビゲーションペインで、アセットセンター > コンテナアセット を選択します。 コンソールの左上隅で、資産が配置されているリージョンとして Chinese Mainland または Outside Chinese Mainland を選択します。

3. コンテナアセット ページで [Clusters] タブをクリックすると、接続されたクラスター数、リスクのあるクラスター数、接続されたクラスターのリストを表示できます。

   • クラスターの検索

     クラスターリストの上にある検索コンポーネントを使用して、ID またはタイプでクラスターを検索できます。

   • クラスターのリスク詳細の表示

     クラスター名または View 列の 操作する をクリックすると、リスク詳細ページが開きます。このページには、セキュリティアラート、脆弱性、設定リスク (K8s 設定リスクおよびベースラインリスク)、コンテナファイアウォールアラートの統計とリストが表示されます。

K8s ログ脅威検知の有効化

クラスターの K8s ログ脅威検知を有効にすると、Security Center はクラスターログを使用して、危険性の高い操作や攻撃などのセキュリティリスクを検出します。

• マネージドおよび専用 ACK クラスター

  1. ACK コンソールで、ログ監査機能を有効にします。詳細については、「クラスター API Server 監査機能の使用」をご参照ください。

     1. ACK コンソールにログインします。ナビゲーションペインで、クラスターリスト を選択します。

     2. クラスターリスト ページで、対象クラスターの名前をクリックします。次に、ナビゲーションペインで、Security を選択します。

     3. 画面の指示に従って、SLS プロジェクトを選択し、ログ監査を有効にしてください。

  2. Security Center コンソールで、コンテナの K8s 脅威検知を有効にします。

• セルフマネージド K8s クラスター

  詳細については、「ログ脅威検知の有効化」をご参照ください。

機能を有効にした後、Security Center コンソールの Container ページに移動してください。Cluster タブで、対象クラスターの K8s Log Status 列を確認し、K8s ログ脅威検知が有効になっていることを確認してください。

クラスターの公開分析

コンテナポートをインターネットに公開すると、ネットワーク攻撃やデータ侵害などのセキュリティリスクにつながる可能性があります。Security Center は、公開されているポートを検出するポート公開分析機能を提供します。

1. 公開分析を実行します。

   クラスターの公開分析は、自動または手動で実行できます：

   • 自動公開分析： K8s クラスターを接続すると、Security Center は自動的にクラスター情報を同期し、毎日深夜 0 時に接続されているすべてのクラスターで公開分析を実行します。

   • 手動公開分析： コンテナアセット ページの [Clusters] タブで、確認したいクラスターを見つけて、操作する 列の Exposure Analysis をクリックしてください。

2. (オプション) コンテナアセット ページの右上隅にある タスク管理 をクリックしてください。タスク管理 パネルの Container Exposure タブで、クラスター公開分析タスクの進行状況と詳細を表示できます。

3. クラスター公開分析の結果を表示します。

   1. コンテナアセット ページで、対象クラスターの名前をクリックします。

   2. クラスター詳細ページで、タイプとして Container を選択し、Exposed フィルターを Yes に設定してください。

   3. コンテナの Exposed 列にある アイコンにポインターを合わせると、公開されたポートに関する情報が表示されます。

      ポートがインターネットに公開されているが使用されていない場合は、セキュリティリスクを軽減するために閉じてください。

イメージ情報の表示

1. Security Center コンソールにログインします。

2. 左側のナビゲーションペインで、アセットセンター > コンテナアセット を選択します。 コンソールの左上隅で、資産が配置されているリージョンとして Chinese Mainland または Outside Chinese Mainland を選択します。

3. コンテナアセット ページで [Repository Images] タブをクリックすると、イメージに関する情報が表示されます。

   • 概要情報の表示

     ページ上部の概要セクションには、リスクのあるイメージの数やイメージセキュリティスキャンの 残りのライセンス数 などの情報が表示されます。

     • 残りのライセンス数 エリアで Increase Quota をクリックして、イメージセキュリティスキャンのクォータを追加購入してください。詳細については、「アップグレードとダウングレード」をご参照ください。

     • Add Third-party Image Repository エリアで [Add] をクリックして、プライベートイメージリポジトリを追加してください。詳細については、「イメージリポジトリの追加」をご参照ください。

   • イメージリポジトリリストの表示

     イメージリポジトリリストには、Asset Center に接続されているすべてのリポジトリが表示されます。これには、各リポジトリの名前、リージョン、タイプ、リスクステータスが含まれます。

     • イメージリポジトリの検索

       リストの上にある検索コンポーネントを使用して、インスタンス ID または名前空間でイメージリポジトリを検索できます。

     • イメージリポジトリの表示

       リポジトリ名をクリックするか、操作する 列の 表示 をクリックすると、リポジトリ詳細ページに移動します。このページでは、リポジトリ名、バージョン、サイズ、リスクステータスを含む、リポジトリ内のすべてのイメージを表示できます。Created At/Updated At 列には、Security Center がリポジトリを最初に同期した日時と最後に同期した日時が表示されます。リポジトリのローカル作成時刻と更新時刻ではありません。

       リポジトリ詳細ページで、対象イメージバージョンを見つけ、操作する 列の 処理 をクリックすると、リスクと脆弱性の情報を表示またはエクスポートできます。

     • Platform for AI (PAI) のイメージリポジトリの表示

       Platform for AI (PAI) に関連するイメージリポジトリを表示するには、検索コンポーネントで タグ > PAI を選択してください。

     • ACR 資産の同期

       Container Registry (ACR) Enterprise Edition インスタンスの場合、対象イメージリポジトリの 操作する 列で Synchronize をクリックして、自動資産同期を有効にしてください。この機能を有効にすると、ACR インスタンスに追加された資産が Security Center のイメージ資産リストに自動的に同期されます。

コンテナイメージのスキャン

イメージスキャン機能は、脆弱性、ベースラインリスク、悪意のあるサンプル、機密ファイルを検出し、イメージランタイム環境のセキュリティの確保に役立ちます。

1. Security Center コンソールにログインします。

2. 左側のナビゲーションペインで、アセットセンター > コンテナアセットを選択します。コンソールの左上隅で、資産が所在するリージョンとしてChinese MainlandまたはOutside Chinese Mainlandを選択します。

3. コンテナアセット ページの [Repository Images] タブで、Container Image Scan セクションの 今すぐスキャン をクリックしてください。

4. Quick Scan ダイアログボックスで、スキャンするイメージのタイプを選択し、ビジネス要件に基づいてスキャン範囲を設定してから、OK をクリックしてください。

   スキャン範囲の設定方法の詳細については、「イメージセキュリティスキャンの実行」をご参照ください。

5. (オプション) コンテナアセット ページの右上隅にある タスク管理 をクリックしてください。タスク管理 パネルの [Image Scan]、Image Risk Fixing、Container Runtime Image Scan タブには、イメージスキャンと修正に関する情報が表示されます。