セキュリティアーキテクチャ・設計 重要度:★★★出題: AM2・PM1
コンテナ・Kubernetesセキュリティ
こんてな・くーばねてぃすせきゅりてぃ / Container & Kubernetes Security
ホストOSカーネルを共有するコンテナ環境の特性を踏まえ、イメージ署名検証・最小権限実行・名前空間分離を徹底する防御設計。
3行速習ポイント
- コンテナ内のroot権限実行を禁止（非rootユーザ指定）し、Linux CapabilitiesやSeccompでシステムコールを制限
- コンテナレジストリ登録時にイメージの脆弱性スキャンと電子署名（Cosign/Notary）を実施し、デプロイ時に検証
- イミュータブル（不変）インフラ原則に基づき、稼働中コンテナへの直接パッチ適用ではなく再ビルドした新イメージで再作成
図解
図コンテナ・Kubernetes の3段階多層防御アーキテクチャ
Build / Registry
ビルド・レジストリ層（イメージ真正性と脆弱性検査）
最小ベースイメージ採用・脆弱性スキャン・電子署名検証
不要ツールを除いたDistrolessイメージ等を採用し、登録時の自動スキャンと署名（Cosign等）検証で改ざんイメージのデプロイを阻止
↕
Runtime / Pod
コンテナランタイム・Pod層（最小権限とエスケープ防止）
非rootユーザ実行・特権モード禁止・Read-only FS
コンテナ内root実行や --privileged を禁止し、Linux Capabilities削除とSeccompでシステムコールを制限してホスト侵害を防止
↕
Cluster / Network
クラスタ・ネットワーク層（マイクロセグメンテーション）
NetworkPolicyによるPod間East-West通信制限
名前空間（Namespace）分離とNetworkPolicyにより、Pod間の不要な横方向通信をデフォルト拒否して侵害範囲を局所化
💡 稼働中コンテナへの直接SSHパッチ適用は再デプロイで消失するため禁止。必ずベースイメージを更新して再ビルド・再配置（イミュータブル原則）
概要と本質
コンテナはゲストOSを持たずホストOSのカーネルを共有するため、コンテナ内の特権プロセスが突破されるとホスト全体へ侵害が波及（コンテナエスケープ）するリスクがあります。ビルド時・レジストリ保管時・ランタイム実行時の3段階で多層防御を行います。
重要ポイント・コア概念
- コンテナエスケープ対策：特権モード（--privileged）の禁止、非rootユーザでのプロセス起動、Read-onlyルートファイルシステム化
- イメージの真正性保証：ベースイメージの厳選（Distroless等）、ダイジェスト値（SHA-256）指定、署名検証の強制
- NetworkPolicyによるマイクロセグメンテーション：Pod間の不要な東西通信（East-Westトラフィック）をデフォルト拒否
午後記述・情報セキュリティ対策での攻略ポイント
午後問題では「なぜ稼働中のコンテナにSSHログインしてパッチを当ててはいけないのか（再デプロイで元に戻るため、Dockerfileを更新して再ビルドすべき）」「コンテナ内のroot実行リスク」が問われます。
午後記述で使える加点キーワード（クリックでコピー）
関連する重要用語
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
