カスタム組織ポリシーとポリシーコントローラーで構築する強力なKubernetesセキュリティ体制

Google Cloudは、カスタム組織ポリシーとポリシーコントローラーという、Google Kubernetes Engine（GKE）専用の2つの効果的かつ補完的な制御機能を紹介しました。これらの制御機能を組み合わせることで、包括的なガバナンスとコンプライアンスを大規模に実現し、GKEクラスターを保護できると発表しています。

興味深い点は、組織全体にわたるセキュリティとコンプライアンスの強化を、開発プロセスに余計な負担をかけることなく実現できるという点です。カスタム組織ポリシーを使用すると、リソース構成に対して柔軟なガードレールを設定できます。これにより、組織、フォルダー、プロジェクトといったリソース階層の任意のレベルで、セキュリティとコンプライアンスを確保するための制御を集中化し、階層的に適用できます。

ポリシーコントローラーは、GKEクラスターに対して完全にプログラム可能なポリシーを適用します。これらのポリシーはガードレールとしても機能し、セキュリティ、コンプライアンス、またはガバナンスの制御に違反する変更を防止します。ポリシーコントローラーを使用すると、アドミッション時にポリシーを適用したり、実行時に監査したり、CI/CDパイプラインからポリシーに対してコードの早期フィードバックを取得したりできます。

具体的な問題解決の例としては、例えば、信頼できる証明済みのイメージのみを使用して新しいGKEクラスターをスピンアップできるようにしたり、新しいノードプールに対してノードの自動アップグレードの無効化を禁止したり、新しいクラスターに対してワークロードIDを有効にしたり、既存のクラスターでのクラウドロギングの無効化を禁止したりすることができます。

また、ポリシーコントローラーは、特定のコンテナイメージの取得元となるリポジトリを制限したり、インターネットセキュリティセンター（CIS）GKEベンチマークやPodセキュリティ基準への準拠を保証したり、セキュリティやガバナンスのために必要なラベルがすべてのワークロードに存在することを確認したりするためにも使用できます。

カスタム組織ポリシーとポリシーコントローラーを併用することで、組織はGKEリソースに対して多層防御を実装できます。カスタム組織ポリシーにより、組織の管理者は、リソースのプロビジョニングまたは変更時に、クラスターとノードプールの構成を一元的に適用できます。これは、リソース階層を通じてGKEリソースによって継承される制御の外部レイヤーを形成します。ポリシーコントローラーは、個々のGKEクラスター内でプラットフォーム管理者に動的なガードレールを提供します。これは、クラスター上のKubernetes管理がセキュリティ、運用、およびガバナンスの要件を満たせるようにする、内部のきめ細かいレイヤーを形成します。

総合的に見ると、カスタム組織ポリシーとポリシーコントローラーは、開発者がセキュリティやコンプライアンスについて深く考えなくても、安全な環境で作業できる強力なツールと言えるでしょう。

参照元サイト：Create a powerful Kubernetes security duo with Custom Org Policy and Policy Controller

NewsPilot編集部

世界の様々なニュースを、日本語でわかりやすく、いち早くお届けします！