Ctrlk
Changelog NotificationsAPIAikido login
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Kubernetesクラスターのスキャン

このページでは、Kubernetesクラスターのスキャン機能について説明します。マネージドKubernetes環境（例: EKS、AKS、GKE）だけでなく、セルフマネージド／オンプレミス／OpenShiftクラスターにも適用されます。

なぜ Kubernetes クラスターを接続するのですか？

Aikido が インフラストラクチャ・アズ・コードのファイルをスキャンしている間、Kubernetes マニフェストや Helm チャートを含め、クラスターを接続すると Aikido はさらに多くの（そしてより強力な）チェックを実行できるようになり、実際の環境も検証できます。

Aikido は Kubernetes リソースを 一連のルールと照合し、逸脱があれば問題として生成します。生成された問題は フィードで「Kubernetes Configurations」で絞り込むことで確認できます。

さらに、Aikido はクラスターにデプロイされているイメージもスキャンできます。詳しくは 以下.

はじめに

次へ移動: Clouds ページで「Connect Cloud」をクリックし、「Kubernetes」を選択します。これは、AWS EKS、Azure Kubernetes Service、Google Kubernetes Engine、その他のマネージド Kubernetes サービスに加え、自前で管理するオンプレミスまたはクラウドベースのデプロイメントを含む、すべての Kubernetes 環境に適用されます。

最初のステップでは、以下を提供します：

  • クラスター名：これは Aikido 内でのみ使用されます。任意の名前を指定できますが、Aikido ワークスペース内で一意である必要があります。

  • 除外する名前空間：必要に応じて、特定の Kubernetes 名前空間からのリソース収集を除外できます。一般的によく除外される名前空間をすばやく追加するオプションもあります。（例：kube-system、kube-public、クラウドプロバイダー固有の名前空間など）。

  • イメージスキャン：追加のコンポーネントがクラスターにインストールされ、コンテナイメージから SBOM を生成します。これらの SBOM は Aikido によってスキャンされ、これらのイメージに影響する問題が表示されます。参照： Kubernetes インクラスター イメージスキャン.

  • 環境：これはクラウドの目的と同じで、Aikido が検出結果の重大度を調整できるようにします。

次に、クラスターに Aikido エージェントをインストールします。必要なのは以下です：

  • Helm CLI

  • クラスターへのアクセスと、Helm チャートをインストールする権限

アプリ内の手順に従って、Aikido エージェントをデプロイメントとして展開するチャートをインストールします（現在は単一の Pod として実行されています）。エージェントは数秒で起動し、オンボーディングを完了できるはずです。

既存クラスターの更新

すでに接続済みのクラスターで、除外する名前空間を更新したり、インクラスター イメージスキャンを有効/無効にしたりできます。

インクラスター イメージスキャン設定を変更する際は、SBOM コレクターが適切に有効または無効になっていることを Kubernetes エージェント Helm リリースで確認する必要があります。この設定は自動では更新されません。

ほとんどの場合、次のコマンドで変更を適用できます：

OpenShift サポート

Aikido は OpenShift クラスターを完全にサポートしており、オンプレミスまたはマネージド環境で実行される OpenShift Container Platform も含まれます。エージェントと SBOM コレクターは他の Kubernetes ディストリビューションと同様に動作しますが、以下に示す OpenShift 固有の統合と考慮事項がいくつかあります：

イメージミラーの解決

OpenShift では一般的にイメージミラーが使用されます（たとえば Quay や内部レジストリ経由）。Aikido はこれらのマッピングを自動的に解決するため、イメージはミラー参照ではなく元のソースイメージを使用して報告・関連付けされます。

これを実現するために、エージェントはクラスターから OpenShift のイメージミラー設定を読み取り、以下を含みます：

  • ImageContentSourcePolicies

  • ImageDigestMirrorSets

  • ImageTagMirrorSets

これにより、正確なイメージ識別と脆弱性の関連付けが保証され、UI 上で重複したり誤解を招いたりするイメージエントリを避けられます。

カスタム CA 証明書

一部の OpenShift クラスターは、カスタムまたは社内の認証局に依存しています。Aikido は追加の CA 証明書をマウントできるようにすることでこれをサポートします。

Helm チャート では:

  • 追加のボリュームとボリュームマウントを追加できます

  • 次のような標準的な環境変数を使って、エージェントをカスタム信頼バンドルに向けることができます SSL_CERT_FILE または SSL_CERT_DIR

イメージプルシークレット

デフォルトでは、Aikido は RBAC 権限を使ってコンテナイメージにアクセスできます。これは最も簡単な構成で、レジストリ認証情報を Aikido 名前空間にコピーする必要はありません。

RBAC ベースのアクセスが望ましくない、または不可能な環境では、エージェントは イメージプルシークレットを直接マウントすることもサポートしています。これにより、レジストリ認証情報を明示的に制御でき、より制限の厳しい OpenShift の構成で役立ちます。

どちらの方法もサポートされており、機能的には同等です。クラスターのセキュリティと運用モデルに最も適したものを選択してください。

FAQ

1. Aikido エージェントはクラスター内で何ができますか？

Aikido エージェントは Kubernetes リソースを読み取ることしかできません。加えて、自己管理のために自分自身の名前空間に限定された最小限の権限を持っています。付与されている権限は Helm チャートで.

2. Aikido エージェントはクラスターにどの程度のパフォーマンス影響を与えますか？

エージェントの唯一の目的は、Kubernetes クラスターからリソースを収集することです。そのため、エージェントのリソース使用量はごくわずかです。 リソース要求と制限 は Helm チャートのインストール時にカスタマイズできます。

3. クラスターは公開されている必要がありますか？

いいえ。通信はエージェントから Aikido プラットフォームへ一方向にのみ流れます。

4. Aikido エージェントの保守はありますか？

いいえ。エージェントの新しいバージョンをリリースすると、自動的に更新されます。なお、エージェントができるのは 自分自身のデプロイメントとシークレットの更新/パッチ適用のみです.

5. Aikido エージェントは Kubernetes シークレットを読み取りますか？

いいえ。イメージプルシークレット（イメージスキャン用）を除き、Kubernetes シークレットへのアクセスはありません。これらは 特定のシークレットのみに制限できます.

6. Aikido エージェントがプラットフォームと通信できない場合はどうなりますか？無期限に再試行しますか？

エージェントはリソース収集に指数バックオフ機構を使用します。Aikido プラットフォームとの接続を確立できない場合は、追加のリソースを消費せずに待機状態になります。

最終更新

役に立ちましたか？