この記事では、Azure Kubernetes Serviceが安全に展開されるようにするためのポリシー ガードレールについて説明します。
AKS GitHub リポジトリ
AKS ポリシーの組み込み
| 名前 | 説明 | バージョン | タイプ | Effect | ポリシー定義 |
|---|---|---|---|---|---|
| 承認された IP 範囲は、Kubernetes Services で定義する必要があります | 特定の範囲の IP アドレスにのみ API アクセスを許可することで、Kubernetes クラシック デプロイ モデルへのアクセスを制限します。 許可された IP 範囲へのアクセスを制限して、許可されたネットワークのアプリケーションのみがクラスターにアクセスできるようにすることをお勧めします。 | 2.0.1 | 組み込み | 監査 | Link |
| Kubernetes クラスター Azureキー管理サービス (KMS) を有効にする必要がある | Kubernetes クラスターのセキュリティのために etcd での保存時にシークレット データを暗号化するため、キー管理サービス (KMS) を使います。 詳細については、https://aka.ms/aks/kmsetcdencryption を参照してください。 |
1.0.0 | 組み込み | 監査 | Link |
| Azure Kubernetes Service のクラスターでは Command Invoke を無効にする必要があります | コマンドの呼び出しを無効にすると、制限されたネットワーク アクセスや Kubernetes のロールベースのアクセス制御のバイパスを回避してセキュリティを強化できます | 1.0.1 | 組み込み | 監査 | Link |
| プライベート クラスター Azure Kubernetes Service有効にする必要がある | AZURE KUBERNETES SERVICE クラスターのプライベート クラスター機能を有効にして、API サーバーとノード プール間のネットワーク トラフィックがプライベート ネットワークのみに残っていることを確認します。 これは、さまざまな規制や業界のコンプライアンス標準での一般的な要件です。 | 1.0.1 | 組み込み | AuditDeny | Link |
| Kubernetes クラスター Azureキー管理サービス (KMS) を有効にする必要がある | Kubernetes クラスターのセキュリティのために etcd での保存時にシークレット データを暗号化するため、キー管理サービス (KMS) を使います。 詳細については、https://aka.ms/aks/kmsetcdencryption を参照してください。 |
1.0.0 | 組み込み | 監査 | Link |
| Azure Kubernetes Service クラスター内のオペレーティング システムとデータ ディスクの両方をカスタマー マネージド キーで暗号化する必要がある | カスタマー マネージド キーを使用して OS とデータ ディスクを暗号化することで、キー管理をより細かく制御し、柔軟性を高めることができます。 これは、さまざまな規制や業界のコンプライアンス標準での一般的な要件です。 | 1.0.1 | 組み込み | AuditDeny | Link |
| Kubernetes Services で Azure Role-Based Access Control (RBAC) を使用する必要がある | ユーザーが実行できるアクションをきめ細かくフィルター処理するには、Azure Role-Based アクセス制御 (RBAC) を使用して Kubernetes Service クラスターのアクセス許可を管理し、関連する承認ポリシーを構成します。 | 1.0.3 | 組み込み | 監査 | Link |
| Azure Kubernetes Service クラスターはマネージド ID を使用する必要があります | マネージド ID を使用して、サービス プリンシパルを回り込み、クラスター管理を簡略化し、マネージド サービス プリンシパルに必要な複雑さを回避します。 詳細については、https://aka.ms/aks-update-managed-identities を参照してください |
1.0.1 | 組み込み | 監査 | Link |
AKS ポリシー カスタム
| 名前 | 説明 | バージョン | タイプ | Effect | ポリシー定義 |
|---|---|---|---|---|---|
| クラスター Azure Kubernetes Service Defender プロファイルが有効になっている必要がある | Microsoft Defender for Containers では、環境のセキュリティ強化、ワークロード保護、ランタイム保護など、クラウドネイティブの Kubernetes セキュリティ機能が提供されます。 Azure Kubernetes Service クラスターで SecurityProfile.AzureDefender を有効にすると、セキュリティ イベント データを収集するために、エージェントがクラスターにデプロイされます。
/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks の Microsoft Defender for Containers の詳細 |
2.0.1 | カスタム | 監査 | N/A |
