kubernetes-security-audit

Kubernetes セキュリティ監査

ワークロード、ID、ネットワーク、サプライチェーンの4つのレイヤーにわたってクラスターを監査します。

ワークロードのセキュリティ

• Pod Security Standards：名前空間のラベル（pod-security.kubernetes.io/enforce）を確認します
• 特権付き Pod、hostPID／hostNetwork／hostPath の使用には、それぞれ正当な理由が必要です
• root で実行されるコンテナ、allowPrivilegeEscalation: true、readOnlyRootFilesystem の未設定
• Pod とコンテナのレベルで securityContext を設定し、ケイパビリティを必要最小限に削減します

RBAC

• バインディングを列挙し、cluster-admin のサブジェクトを特定します。明示的に指定した一覧に最小化します
• 権限昇格経路：bind／escalate／impersonate 動詞、create pods ＋ ノードへの特権アクセス、create pods/exec
• サービスアカウント：ワークロードでデフォルトの SA が使用されていますか？不要な場合、トークンの自動マウントは無効になっていますか？
• カスタムロールでワイルドカード（*）の動詞／リソースが使われていないか確認します

ネットワーク

• NetworkPolicy：各名前空間で ingress／egress をデフォルト拒否にすることを基本とします
• 名前空間間の公開範囲：どの名前空間から kube-system、Ingress コントローラー、データベースにアクセスできますか？
• コントロールプレーンの公開範囲：API サーバーはパブリック IP で公開されていますか？etcd に到達可能で、認証されていますか？

サプライチェーン

• イメージの来歴：レジストリのダイジェストを固定し（:latest は使用しない）、署名を検証します（cosign）
• アドミッション制御：イメージポリシーを設定し、信頼できないレジストリからの特権付きイメージを禁止します
• シークレット：Kubernetes Secrets は保存時に暗号化されていますか（KMS 暗号化が設定されていますか）。イメージに埋め込んだり、Git にコミットされたマニフェスト内の環境変数として設定したりしないでください

クイックチェック

kubectl get pods -A -o json | jq '[.items[] | select(.spec.containers[].securityContext.privileged==true)]'
kubectl get ns -l pod-security.kubernetes.io/enforce
kubectl auth can-i --list --as=system:serviceaccount:default:default
kubectl get networkpolicy -A

出力

各レイヤーの検出事項を、YAML の証拠、リスク、および修正用の強化マニフェストとともに提示します。