Ctrlk
Changelog NotificationsAPIAikido login
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Kubernetesクラスターのスキャン

このページでは、Kubernetesクラスターのスキャン機能について説明します。これは、マネージドKubernetes環境（EKS、AKS、GKEなど）だけでなく、セルフマネージド／オンプレミス／OpenShiftクラスターにも適用されます。

なぜ Kubernetes クラスターを接続するのですか？

Aikido は インフラストラクチャ・アズ・コードのファイルをスキャンします。Kubernetes マニフェストや Helm チャートを含め、クラスターを接続することで Aikido はより多くの（そしてより強力な）チェックを実行でき、実際の環境の検証も行えるようになります。

Aikido は Kubernetes リソースを 一連のルールと照らし合わせて評価し、逸脱があれば問題を生成します。生成された問題は フィード内で「Kubernetes Configurations」で並べ替えることで確認できます。

さらに、Aikido はクラスターにデプロイされたイメージもスキャンできます。詳しくは 以下.

はじめに

へ移動し Clouds ページで「Connect Cloud」をクリックし、「Kubernetes」を選択してください。これは、AWS EKS、Azure Kubernetes Service、Google Kubernetes Engine、その他のマネージド Kubernetes サービス、そしてセルフ管理のオンプレミスまたはクラウドベースのデプロイメントを含む、すべての Kubernetes 環境に適用されます。

最初のステップでは、次の情報を入力します。

  • クラスター名：これは Aikido 内でのみ使用されます。任意の名前を指定できますが、Aikido ワークスペース内で一意である必要があります。

  • 除外する namespace：必要に応じて、特定の Kubernetes namespace からのリソース収集を除外できます。よく除外される namespace をすばやく追加するオプションも用意されています。（例：kube-system、kube-public、クラウドプロバイダー固有の namespace など）。

  • イメージスキャン：コンテナイメージから SBOM を生成する責任を持つ追加コンポーネントがクラスターにインストールされます。これらの SBOM は Aikido によってスキャンされ、これらのイメージに影響する問題が表示されます。詳細は Kubernetes In-Cluster Image Scanning.

  • 環境：これは cloud の目的と同じで、Aikido が検出結果の重大度を調整できるようにします。

次に、Aikido エージェントをクラスターにインストールします。必要なもの：

  • Helm CLI

  • クラスターへのアクセスと、Helm チャートをインストールする権限

アプリ内の手順に従って、Aikido エージェントを Deployment としてデプロイするチャートをインストールしてください（現在は単一の Pod として実行されています）。エージェントは数秒で起動し、オンボーディングを完了できるようになります。

既存のクラスターの更新

すでに接続済みのクラスターでは、除外する namespace を更新したり、クラスター内イメージスキャンを有効/無効にしたりできます。

クラスター内イメージスキャンの設定を変更する際は、SBOM コレクターが Kubernetes エージェントの Helm リリース内でそれに応じて有効/無効になっていることを確認する必要があります。この設定は自動更新されません。

多くの場合、次のコマンドで変更を適用できます：

OpenShift のサポート

Aikido は OpenShift クラスターを完全にサポートします。オンプレミスまたはマネージド環境で動作する OpenShift Container Platform も含まれます。エージェントと SBOM コレクターは他の Kubernetes ディストリビューションと同様に動作し、以下に示す OpenShift 固有の統合と考慮事項がいくつかあります。

イメージミラーの解決

OpenShift では、（たとえば Quay や内部レジストリ経由で）イメージミラーがよく使われます。Aikido はこれらのマッピングを自動的に解決し、ミラーされた参照ではなく元のソースイメージを使用してイメージが報告・相関されるようにします。

これを実現するために、エージェントはクラスターから OpenShift のイメージミラー設定を読み込みます。以下を含みます。

  • ImageContentSourcePolicies

  • ImageDigestMirrorSets

  • ImageTagMirrorSets

これにより、正確なイメージ識別と脆弱性の相関が可能になり、UI 上で重複した、あるいは誤解を招くイメージエントリを避けることができます。

カスタム CA 証明書

一部の OpenShift クラスターは、カスタムまたは社内の認証局に依存しています。Aikido では追加の CA 証明書をマウントすることでこれをサポートします。

Helm チャートは 、以下を可能にします。:

  • 追加のボリュームとボリュームマウントを追加する

  • 標準的な環境変数を使って、エージェントをカスタム信頼バンドルに向ける。たとえば SSL_CERT_FILE または SSL_CERT_DIR

イメージ pull シークレット

デフォルトでは、Aikido は RBAC 権限を使用してコンテナイメージにアクセスできます。これは最も簡単な構成で、レジストリ認証情報を Aikido namespace にコピーする必要がありません。

RBAC ベースのアクセスが望ましくない、または不可能な環境では、エージェントは イメージ pull シークレットを直接マウントすることもサポートしています。これにより、レジストリ認証情報を明示的に管理でき、より制限の厳しい OpenShift 環境で役立ちます。

どちらの方法もサポートされており、機能的には同等です。クラスターのセキュリティおよび運用モデルに最も適したものを選択してください。

FIPS 準拠イメージ

Aikido は、FedRAMP 環境向けに Kubernetes エージェントと SBOM コレクターの FIPS 準拠版を提供しています。

Kubernetes エージェント（FIPS） public.ecr.aws/aikido-cloud/kubernetes-agent-fips:v1.19.0

SBOM コレクター（FIPS） public.ecr.aws/aikido-cloud/kubernetes-sbom-collector-fips:v1.9.0

使用するには、Helm チャートの repo 値に -fips を追加してください。

FAQ

1. Aikido エージェントはクラスター内で何ができますか？

Aikido エージェントは Kubernetes リソースを読み取ることしかできません。さらに、自身の管理のために、自分の namespace に限定された最小限の権限のみを持っています。付与される権限は Helm チャート内で.

2. Aikido エージェントはクラスターにどのようなパフォーマンス影響を与えますか？

エージェントの唯一の目的は、Kubernetes クラスターからリソースを収集することです。そのため、エージェントのリソース使用量はごくわずかです。 リソース要求と制限は Helm チャートのインストール時にカスタマイズできます。

3. クラスターは公開されている必要がありますか？

いいえ。通信はエージェントから Aikido プラットフォームへ向かうのみです。

4. Aikido エージェントの保守は必要ですか？

いいえ。エージェントの新しいバージョンをリリースすると、自動的に自己更新します。なお、エージェントが更新できるのは 自身の Deployment と Secret の更新/パッチ適用のみ.

5. Aikido エージェントは Kubernetes の Secret を読み取りますか？

いいえ。Kubernetes Secret にはアクセスしません。例外はイメージ pull シークレット（イメージスキャン用）で、これについては 特定の Secret のみに制限できます.

6. Aikido エージェントがプラットフォームと通信できない場合はどうなりますか？無期限に試行し続けますか？

エージェントはリソース収集に指数バックオフの仕組みを使用します。Aikido プラットフォームとの接続を確立できない場合は、追加のリソースを消費せず、待機状態になります。

最終更新

役に立ちましたか？