Red Hat Summit5.6. Compliance Operator のスキャンの管理
5.6.1. サポートされているコンプライアンスプロファイル
Compliance Operator (CO) のインストールの一部として利用可能なプロファイルは複数あります。次のプロファイルを使用すると、クラスター内のギャップを評価できます。ただし、使用するだけでは特定のプロファイルへの準拠を推測または保証できません。また、プロファイルは監査人はありません。
このようなさまざまな標準に対する準拠または認定を実現するには、Qualified Security Assessor (QSA)、Joint Authorization Board (JAB)、または業界で認められたその他の規制当局など、認定監査機関に依頼して、環境の評価を受ける必要があります。標準への準拠を実現するには、認定監査人と協力する必要があります。
すべての Red Hat 製品のコンプライアンスサポートの詳細は、Product Compliance を参照してください。
Compliance Operator は、OpenShift Dedicated や Azure Red Hat OpenShift などの一部のマネージドプラットフォームで誤った結果を報告する可能性があります。詳細は、Red Hat ナレッジベースソリューション Red Hat Knowledgebase Solution #6983418 を参照してください。
5.6.1.1. コンプライアンスプロファイル
Compliance Operator は、業界標準のベンチマークを満たすプロファイルを提供します。
次の表は、Compliance Operator で利用可能な最新のプロファイルを反映しています。
5.6.1.1.1. CIS コンプライアンスプロファイル
| プロファイル | プロファイルタイトル | アプリケーション | 業界コンプライアンスベンチマーク | サポートされているアーキテクチャー | サポート対象のプラットフォーム |
|---|---|---|---|---|---|
| ocp4-cis [1] | CIS Red Hat OpenShift Container Platform ベンチマーク v1.9.0 | プラットフォーム | CIS Benchmarks ™ [4] |
| |
| ocp4-cis-1-9 [3] | CIS Red Hat OpenShift Container Platform ベンチマーク v1.9.0 | プラットフォーム | CIS Benchmarks ™ [4] |
| |
| ocp4-cis-node [1] | CIS Red Hat OpenShift Container Platform ベンチマーク v1.9.0 | ノード [2] | CIS Benchmarks ™ [4] |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) |
| ocp4-cis-node-1-9 [3] | CIS Red Hat OpenShift Container Platform ベンチマーク v1.9.0 | ノード [2] | CIS Benchmarks ™ [4] |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) |
-
ocp4-cisおよびocp4-cis-nodeプロファイルは、Compliance Operator で利用可能になると、CIS ベンチマークの最新バージョンを維持します。CIS v1.9.0 などの特定のバージョンに準拠したい場合は、ocp4-cis-1-9およびocp4-cis-node-1-9プロファイルを使用してください。 - ノードプロファイルは、関連するプラットフォームプロファイルとともに使用する必要があります。詳細は、Compliance Operator のプロファイルタイプ を参照してください。
- 以前のすべての CIS プロファイルは、CIS v1.9.0 に置き換えられます。最新のプロファイルを環境に適用することを推奨します。
- CIS OpenShift Container Platform v4 ベンチマークを見つけるには、CIS Benchmarks にアクセスし、Download Latest CIS Benchmark をクリックします。そこで登録すると、ベンチマークをダウンロードできます。
5.6.1.1.2. BSI プロファイルのサポート
| Profile | プロファイルタイトル | アプリケーション | 業界コンプライアンスベンチマーク | サポートされているアーキテクチャー | サポートされているプラットフォーム |
|---|---|---|---|---|---|
| ocp4-bsi [1] | BSI IT-Grundschutz (Basic Protection) Building Block SYS.1.6 and APP.4.4 | プラットフォーム |
| ||
| ocp4-bsi-node [1] | BSI IT-Grundschutz (Basic Protection) Building Block SYS.1.6 and APP.4.4 | ノード [2] |
| ||
| rhcos4-bsi [1] | BSI IT-Grundschutz (Basic Protection) Building Block SYS.1.6 and APP.4.4 | ノード [2] |
| ||
| ocp4-bsi-2022 [3] | BSI IT-Grundschutz (Basic Protection) Building Block SYS.1.6 and APP.4.4 | プラットフォーム |
| ||
| ocp4-bsi-node-2022 [3] | BSI IT-Grundschutz (Basic Protection) Building Block SYS.1.6 and APP.4.4 | ノード [2] |
| ||
| rhcos4-bsi-2022 [3] | BSI IT-Grundschutz (Basic Protection) Building Block SYS.1.6 and APP.4.4 | ノード [2] |
|
-
ocp4-bsi、ocp4-bsi-node、およびrhcos4-bsiプロファイルは、Compliance Operator で利用可能になった BSI 基本保護プロファイルの最新バージョンを維持します。BSI 2022 などの特定のバージョンに準拠したい場合は、ocp4-bsi-2022、ocp4-bsi-node-2022、またはrhcos4-bsi-2022プロファイルを使用してください。 - ノードプロファイルは、関連するプラットフォームプロファイルとともに使用する必要があります。詳細は、Compliance Operator のプロファイルタイプ を参照してください。
- 2022 年版は、BSI IT-Grundschutz (Basic Protection) Compendium の最新の英語版です。最新のドイツ語版概要書 (2023 年版) では、ビルディングブロック SYS.1.6 および APP.4.4、SYS.1.1、SYS.1.3 に変更はありませんでした。
詳細は、BSI Quick Check を参照してください。
5.6.1.1.3. Essential Eight コンプライアンスプロファイル
| プロファイル | プロファイルタイトル | アプリケーション | 業界コンプライアンスベンチマーク | サポートされているアーキテクチャー | サポート対象のプラットフォーム |
|---|---|---|---|---|---|
| ocp4-e8 | Australian Cyber Security Centre (ACSC) Essential Eight | プラットフォーム |
| ||
| rhcos4-e8 | Australian Cyber Security Centre (ACSC) Essential Eight | ノード |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) |
5.6.1.1.4. FedRAMP High コンプライアンスプロファイル
service-sshd-disabled ルールを使用する rhcos4-stig などのプロファイルに自動修復を適用すると、sshd サービスが自動的に無効になります。この状況により、コントロールプレーンノードとコンピュートノードへの SSH アクセスがブロックされます。SSH アクセスを有効のままにするには、TailoredProfile オブジェクトを作成し、disableRules パラメーターに rhcos4-service-sshd-disabled ルール値を設定します。
| プロファイル | プロファイルタイトル | アプリケーション | 業界コンプライアンスベンチマーク | サポートされているアーキテクチャー | サポート対象のプラットフォーム |
|---|---|---|---|---|---|
| ocp4-high [1] | NIST 800-53 Red Hat OpenShift 向け高影響ベースライン - プラットフォームレベル | プラットフォーム |
| ||
| ocp4-high-node [1] | NIST 800-53 Red Hat OpenShift の高影響ベースライン - ノードレベル | ノード [2] |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) | |
| ocp4-high-node-rev-4 | NIST 800-53 Red Hat OpenShift の高影響ベースライン - ノードレベル | ノード [2] |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) | |
| ocp4-high-rev-4 | NIST 800-53 Red Hat OpenShift 向け高影響ベースライン - プラットフォームレベル | プラットフォーム |
| ||
| rhcos4-high [1] | NIST 800-53 Red Hat Enterprise Linux CoreOS 向け高影響度ベースライン | ノード |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) | |
| rhcos4-high-rev-4 | NIST 800-53 Red Hat Enterprise Linux CoreOS 向け高影響度ベースライン | ノード |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) |
-
ocp4-high、ocp4-high-node、およびrhcos4-highプロファイルは、Compliance Operator で利用可能になると、FedRAMP High 標準の最新バージョンを維持します。FedRAMP high R4 などの特定のバージョンに準拠する場合は、ocp4-high-rev-4およびocp4-high-node-rev-4プロファイルを使用してください。 - ノードプロファイルは、関連するプラットフォームプロファイルとともに使用する必要があります。詳細は、Compliance Operator のプロファイルタイプ を参照してください。
5.6.1.1.5. FedRAMP Moderate コンプライアンスプロファイル
| プロファイル | プロファイルタイトル | アプリケーション | 業界コンプライアンスベンチマーク | サポートされているアーキテクチャー | サポート対象のプラットフォーム |
|---|---|---|---|---|---|
| ocp4-moderate [1] | NIST 800-53 Red Hat OpenShift の中程度影響ベースライン - プラットフォームレベル | プラットフォーム |
| ||
| ocp4-moderate-node [1] | NIST 800-53 Red Hat OpenShift の中程度影響ベースライン - ノードレベル | ノード [2] |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) | |
| ocp4-moderate-node-rev-4 | NIST 800-53 Red Hat OpenShift の中程度影響ベースライン - ノードレベル | ノード [2] |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) | |
| ocp4-moderate-rev-4 | NIST 800-53 Red Hat OpenShift の中程度影響ベースライン - プラットフォームレベル | プラットフォーム |
| ||
| rhcos4-moderate [1] | NIST 800-53 Red Hat Enterprise Linux CoreOS の中程度影響ベースライン | ノード |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) | |
| rhcos4-moderate-rev-4 | NIST 800-53 Red Hat Enterprise Linux CoreOS の中程度影響ベースライン | ノード |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) |
-
ocp4-moderate、ocp4-moderate-node、rhcos4-moderateプロファイルは、Compliance Operator で利用可能になると、FedRAMP Moderate 標準の最新バージョンを維持します。FedRAMP Moderate R4 などの特定のバージョンに準拠する場合は、ocp4-moderate-rev-4およびocp4-moderate-node-rev-4プロファイルを使用してください。 - ノードプロファイルは、関連するプラットフォームプロファイルとともに使用する必要があります。詳細は、Compliance Operator のプロファイルタイプ を参照してください。
5.6.1.1.6. NERC-CIP コンプライアンスプロファイル
| プロファイル | プロファイルタイトル | アプリケーション | 業界コンプライアンスベンチマーク | サポートされているアーキテクチャー | サポート対象のプラットフォーム |
|---|---|---|---|---|---|
| ocp4-nerc-cip | North American Electric Reliability Corporation (NERC) Critical Infrastructure Protection (CIP) cybersecurity standards profile for the OpenShift Container Platform - Platform レベル | プラットフォーム |
| ||
| ocp4-nerc-cip-node | North American Electric Reliability Corporation (NERC) Critical Infrastructure Protection (CIP) cybersecurity standards profile for the OpenShift Container Platform - Node レベル | ノード [1] |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) | |
| rhcos4-nerc-cip | 北米電力信頼性評議会 (NERC) の重要インフラ保護 (CIP) サイバーセキュリティー標準プロファイル (Red Hat Enterprise Linux CoreOS 向け) | ノード |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) |
- ノードプロファイルは、関連するプラットフォームプロファイルとともに使用する必要があります。詳細は、Compliance Operator のプロファイルタイプ を参照してください。
5.6.1.1.7. PCI-DSS コンプライアンスプロファイル
| プロファイル | プロファイルタイトル | アプリケーション | 業界コンプライアンスベンチマーク | サポートされているアーキテクチャー | サポート対象のプラットフォーム |
|---|---|---|---|---|---|
| ocp4-pci-dss [1] | PCI-DSS v4 Control Baseline for OpenShift Container Platform 4 | プラットフォーム |
| ||
| ocp4-pci-dss-3-2 [3] | PCI-DSS v3.2.1 Control Baseline for OpenShift Container Platform 4 | プラットフォーム |
| ||
| ocp4-pci-dss-4-0 | PCI-DSS v4 Control Baseline for OpenShift Container Platform 4 | プラットフォーム |
| ||
| ocp4-pci-dss-node [1] | PCI-DSS v4 Control Baseline for OpenShift Container Platform 4 | ノード [2] |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) | |
| ocp4-pci-dss-node-3-2 [3] | PCI-DSS v3.2.1 Control Baseline for OpenShift Container Platform 4 | ノード [2] |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) | |
| ocp4-pci-dss-node-4-0 | PCI-DSS v4 Control Baseline for OpenShift Container Platform 4 | ノード [2] |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) |
-
ocp4-pci-dssおよびocp4-pci-dss-nodeプロファイルは、Compliance Operator で利用可能になると、最新バージョンの PCI-DSS 標準を維持します。PCI-DSS v3.2.1 などの特定のバージョンに準拠する場合は、ocp4-pci-dss-3-2およびocp4-pci-dss-node-3-2プロファイルを使用してください。 - ノードプロファイルは、関連するプラットフォームプロファイルとともに使用する必要があります。詳細は、Compliance Operator のプロファイルタイプ を参照してください。
- PCI-DSS v3.2.1 は PCI-DSS v4 に置き換えられました。最新のプロファイルを環境に適用することを推奨します。
5.6.1.1.8. STIG コンプライアンスプロファイル
service-sshd-disabled ルールを使用する rhcos4-stig などのプロファイルに自動修復を適用すると、sshd サービスが自動的に無効になります。この状況により、コントロールプレーンノードとコンピュートノードへの SSH アクセスがブロックされます。SSH アクセスを有効のままにするには、TailoredProfile オブジェクトを作成し、disableRules パラメーターに rhcos4-service-sshd-disabled ルール値を設定します。
| プロファイル | プロファイルタイトル | アプリケーション | 業界コンプライアンスベンチマーク | サポートされているアーキテクチャー | サポート対象のプラットフォーム |
|---|---|---|---|---|---|
| ocp4-stig [1] | Red Hat Openshift 用国防情報システム局セキュリティー技術実装ガイド (DISA STIG) [3] | プラットフォーム |
| ||
| ocp4-stig-node [1] | Red Hat Openshift 用国防情報システム局セキュリティー技術実装ガイド (DISA STIG) [3] | ノード [2] |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) | |
| ocp4-stig-v2r3 | 米国防情報システム局 (DISA) セキュリティー技術実装ガイド (DISA STIG)Red Hat Openshift V2R3 向け | プラットフォーム |
| ||
| ocp4-stig-node-v2r3 [1] | 米国防情報システム局 (DISA) セキュリティー技術実装ガイド (DISA STIG)Red Hat Openshift V2R3 向け | ノード |
| ||
| rhcos4-stig[1] | Red Hat Openshift 用国防情報システム局セキュリティー技術実装ガイド (DISA STIG) [3] | ノード |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) | |
| rhcos4-stig-v2r3 | 米国防情報システム局 (DISA) セキュリティー技術実装ガイド (DISA STIG)Red Hat Openshift V2R3 向け | ノード |
| Red Hat OpenShift Service on AWS with Hosted Control Plane (ROSA HCP) |
-
ocp4-stig、ocp4-stig-node、rhcos4-stigプロファイルは、Compliance Operator で利用可能になると、DISA-STIG ベンチマークの最新バージョンを維持します。DISA-STIG V2R3 などの特定のバージョンに準拠する場合は、ocp4-stig-v2r3およびocp4-stig-node-v2r3プロファイルを使用してください。 - ノードプロファイルは、関連するプラットフォームプロファイルとともに使用する必要があります。詳細は、Compliance Operator のプロファイルタイプ を参照してください。
- DISA-STIG V1R2 は DISA-STIG V2R3 に置き換えられました。最新のプロファイルを環境に適用することを推奨します。
5.6.1.1.9. 拡張コンプライアンスプロファイルについて
一部のコンプライアンスプロファイルには、業界のベストプラクティスに従う必要がある制御が含まれており、その結果、一部のプロファイルが他のプロファイルを拡張します。Center for Internet Security (CIS) のベストプラクティスと National Institute of Standards and Technology (NIST) のセキュリティーフレームワークを組み合わせることで、セキュアな準拠環境を実現するパスが確立されます。
たとえば NIST の High-Impact プロファイルおよび Moderate-Impact プロファイルは、コンプライアンスを達成するために CIS プロファイルを拡張します。その結果、拡張されたコンプライアンスプロファイルを使用することで、1 つのクラスターで両方のプロファイルを実行する必要がなくなります。
| プロファイル | 拡張対象 |
|---|---|
| ocp4-pci-dss | ocp4-cis |
| ocp4-pci-dss-node | ocp4-cis-node |
| ocp4-high | ocp4-cis |
| ocp4-high-node | ocp4-cis-node |
| ocp4-moderate | ocp4-cis |
| ocp4-moderate-node | ocp4-cis-node |
| ocp4-nerc-cip | ocp4-moderate |
| ocp4-nerc-cip-node | ocp4-moderate-node |
5.6.1.1.10. Compliance Operator のプロファイルタイプ
Compliance Operator のルールはプロファイルとしてまとめられます。プロファイルは、OpenShift Container Platform のプラットフォームまたはノードを対象としています。一部のベンチマークには、rhcos4 ノードプロファイルが含まれています。
- プラットフォーム
- プラットフォームプロファイルは、OpenShift Container Platform クラスターのコンポーネントを評価します。たとえば、プラットフォームレベルのルールで、APIServer 設定で強力な暗号化アルゴリズムが使用されているかどうかを確認できます。
- ノード
-
ノードプロファイルは、各ホストの OpenShift または RHCOS 設定を評価します。
ocp4ノードプロファイルとrhcos4ノードプロファイルの 2 つのノードプロファイルを使用できます。ocp4ノードプロファイルは、各ホストの OpenShift 設定を評価します。たとえば、kubeconfigファイルにコンプライアンス標準に適合した正しい権限があるかどうかを確認できます。rhcos4ノードプロファイルは、各ホストの Red Hat Enterprise Linux CoreOS (RHCOS) 設定を評価します。たとえば、SSHD サービスがパスワードログインを無効にするように設定されているかどうかを確認できます。
ノードプロファイルとプラットフォームプロファイル (PCI-DSS など) を含むベンチマークの場合、OpenShift Container Platform 環境で両方のプロファイルを実行する必要があります。
ocp4 プラットフォーム、ocp4 ノード、および rhcos4 ノードプロファイルを含むベンチマーク (FedRAMP High など) の場合、OpenShift Container Platform 環境で 3 つのプロファイルをすべて実行する必要があります。
多数のノードを持つクラスターでは、ocp4 ノードと rhcos4 ノードの両方のスキャンが完了するまでに長い時間がかかる可能性があります。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}