AKS におけるアプリケーションのセキュリティ保護

Azure コンピューティングソリューション

Florin Angelescu

Azure Cloud Architect

セキュリティが重要な理由

 

 

 

• あらゆる本番環境において不可欠です。
• コンテナーと Kubernetes は新たな複雑性をもたらします。
• ワークロードはリスクにさらされる可能性があります。

セキュリティが重要な理由

 

 

• AKS は Azure のセキュリティ エコシステムと統合して以下を保護します:

  • アプリケーション
  • データ
  • ユーザー

• 強固なセキュリティ実践:

  • 顧客やステークホルダーへの信頼構築
  • ワークロードの回復力と適切な管理の証明

ロールベースのアクセス制御 (RBAC)

• クラスター内で操作を実行できるユーザーを制御します。

ロールベースのアクセス制御 (RBAC)

• クラスター内の操作権限を制御します。

• Entra ID との統合:

  • ユーザーまたはグループへのロール割り当て

• 承認済みのユーザーのみがワークロードをデプロイ・スケール・変更できます。

ロールベースのアクセス制御 (RBAC)

• 開発者はアプリのデプロイ権限を持ちます。
• オペレーターはスケーリングと監視を管理します。
• 細かいロール割り当てにより、意図しない変更や悪意ある変更のリスクを低減します。

シークレット管理

 

 

• アプリケーションには機密情報が必要です:

  • パスワード
  • API キー
  • 証明書

• Kubernetes はこれらをシークレットとして保存します。

• ポッドに安全にマウントできます。

シークレット管理

 

 

• シークレットは Azure Key Vault と統合できます:
  • 一元管理と暗号化
• 機密データはイメージやマニフェストにハードコードされません。
• 情報漏洩のリスクを低減します。
• シークレットを定期的にローテーションしてください。

ネットワーク セキュリティ

 

 

• AKS クラスターは Azure 仮想ネットワーク内で動作します:
  • ネットワーク セキュリティ グループ
  • ファイアウォール

ネットワーク セキュリティ

 

 

• AKS クラスターは Azure 仮想ネットワーク内で動作します:

  • ネットワーク セキュリティ グループ
  • ファイアウォール

• ポッド間のトラフィックを制限します。

• ポリシーを適用します。
• ワークロードを分離します。

ネットワーク セキュリティ

 

 

• イングレス コントローラー:
  • TLS 証明書の設定
  • 外部トラフィックのセキュリティ保護

ネットワーク セキュリティ

 

 

• イングレス コントローラー:

  • TLS 証明書の設定
  • 外部トラフィックのセキュリティ保護

• ネットワーク ポリシー:

  • 通信可能なポッドを定義
  • 攻撃対象領域を削減

イメージ セキュリティ

 

 

• コンテナー イメージ:

  • ワークロードの基盤
  • 信頼性が必要

• Azure Container Registry:

  • イメージ スキャンをサポート
  • デプロイ前に脆弱性を検出

イメージ セキュリティ

 

 

 

ポリシー

• 署名済みまたは承認済みのイメージのみクラスターで使用できます。

イメージ セキュリティ

 

• ベース イメージの更新とパッチ適用:

  • ワークロードの安全性を維持

• イメージの検証:

  • 侵害されたソフトウェアの本番環境への流入を防止

監視とコンプライアンス

 

• 脅威の検出には継続的な監視が不可欠です。

Azure Defender for Kubernetes

• ランタイム保護。

• 不審なアクティビティの検出:

  • 特権昇格
  • 異常なネットワーク トラフィック

• コンプライアンス ツール:

  • クラスターが組織または規制基準を満たしていることを確認

まとめ

 

 

AKS におけるアプリケーションのセキュリティ保護:

• ロールベースのアクセス制御
• シークレット管理
• ネットワーク制御
• イメージ検証
• 継続的な監視

では、練習してみましょう！

Azure コンピューティングソリューション