Sysdig Secure による Kubernetes のセキュリティ

A: Kubernetes とは、自動化されたコンテナのデプロイメント、拡張、ワークロード、サービスを管理するためのオープンソースプラットフォームです。Google 社によって開発され、現在は CNCF（Cloud Native Computing Foundation）に管理されています。Kubernetes の目的は、ホストのクラスタ全体でアプリケーションコンテナの運用、デプロイメント、拡張を自動化することです。現在では、多くのクラウドサービスベンダーが自社ブランドの Kubernetes を提供しています。

A: アプリケーションをバンドルして実行する際は、コンテナが非常に効果的です。本番環境では、アプリケーションを実行するコンテナをダウンタイムなしで管理する必要があります。Kubernetes は、分散システムを確実に管理するとともに、コンテナアプリケーションの拡張とフェールオーバーを管理するフレームワークです。Kubernetes は、機密情報の保存と管理、障害が発生したコンテナの再起動、ロールバックとロールアウトの自動化、ストレージシステムの自動マウントの管理などを行います。

A: Kubernetes のセキュリティメカニズムは、コンテナベースの攻撃からユーザーを守ります。このような攻撃は多くの場合、コンテナベースのイメージやサードパーティのライブラリに含まれる脆弱性を悪用するハッカーによって行われます。クラスタの構成ミスに起因することもあり、その場合、実行時に悪質なアクティビティが検出されなかったり、クラウドネイティブなアプリケーションがコンプライアンスに違反したりする原因となります。そのため、Kubernetes ライフサイクル全体にセキュリティとコンプライアンスを統合する必要があります。PodSecurityPolicy などのネイティブコントロールは、特権エスカレーションを防ぎ、実行時に脅威をブロックするのに役立ちます。オープンソースの Falco を使用すれば、実行時に悪質なアクティビティを検出してアラートを送信できます。DevOps エコシステムの一部である Kubernetes のセキュリティツールは、クラウドセキュリティのリスク管理に役立ちます。

A: Kubernetes はさまざまなノードをクラスタにまとめてクラウドネイティブなアプリケーションを実行します。Kubernetes クラスタには、少なくとも 1 つのマスターノードと 1 つのワーカーノードが含まれています。マスターノードはクラスタを望ましい状態に保ち（実行されているアプリケーションや使用されているコンテナイメージなど）、ワーカーノードを直接制御します。ワーカーノードはアプリケーションとワークロードを実際に実行します。プログラムをクラスタにデプロイすると、マスターノードは個々のノードへの作業の分散をインテリジェントに処理します。ノードが追加または削除されると、Kubernetes は望ましい状態になるようにクラスタを自動的に管理します。

A: Kubernetes と Docker は根本的に異なるテクノロジですが、コンテナ化されたアプリケーションの構築、デリバリ、拡張のために連携して機能します。Docker はソフトウェアやマイクロサービスをコンテナにパッケージ化してポータビリティを高めます。Kubernetes は複数の Docker を大規模に拡張して管理できるオーケストレータです。