6.4. カスタムポリシーの作成

セクション: イメージレジストリー

Image Registry

イメージレジストリーの名前。

Image Registry

String

正規表現、
NOT、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image Name

library/nginx など、レジストリー内のイメージのフルネーム。

Image Remote

String

正規表現、
NOT、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image Tag

イメージの識別子。

Image Tag

String

正規表現、
NOT、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image Signature

イメージの署名を検証するために使用できる署名統合のリスト。署名がないか、提供された署名統合の少なくとも 1 つによって署名が検証できないイメージに関するアラートを作成します。

Image Signature Verified By

すでに設定されているイメージ署名統合の有効な ID

!OR のみ

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

セクション:イメージの内容

イメージの経過時間

イメージの作成日からの最小日数。

イメージの経過時間

Integer

✕

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

イメージのスキャン期間

イメージが最後にスキャンされた後の最小日数。

イメージのスキャン期間

Integer

✕

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image User

Dockerfile の USER ディレクティブと一致します。詳細は、https://docs.docker.com/engine/reference/builder/#user を参照してください。

Image User

String

正規表現、
NOT、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Dockerfile Line

命令と引数の両方を含む、Dockerfile の特定の行。

Dockerfile Line

LABEL、RUN、CMD、EXPOSE、ENV、ADD、COPY、ENTRYPOINT、VOLUME、USER、WORKDIR、ONBUILD のいずれか

!値 (AND、OR) の 正規表現 のみ

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

イメージのスキャンステータス

イメージがスキャンされたかどうかを確認します。

スキャンされていないイメージ

Boolean

✕

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

CVSS

Common Vulnerability Scoring System は、スコアが > (指定された CVSS より大きい)、< (指定された CVSS より小さい)、または = (指定された CVSS と等しい) 脆弱性を持つイメージと照合するために使用します。

CVSS

<、>、<=、>=、または何もなし (等しいことを意味します)
— と —
10 進数 (オプションの小数値を含む数値)。

例:
>=5 または
9.5

AND, OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

重大度

CVSS またはベンダーに基づく脆弱性の重大度。Low、Moderate、Important、Critical のいずれかです。

重大度

<、>、⇐、>=、または何もなし (等しいことを意味します)
— と — 
次のうちのひとつ:
UNKNOWN
LOW
MODERATE
IMPORTANT
CRITICAL

例:
>=IMPORTANT、または
CRITICAL

AND, OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Fixed By

イメージのフラグ付きの脆弱性を修正するパッケージのバージョン文字列。この基準は、CVE 基準などを使用して脆弱性を特定する他の基準に加えて使用される場合があります。

Fixed By

String

正規表現、
NOT、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

CVE

Common Vulnerabilities and Exposures。特定の CVE 番号で使用。

CVE

String

正規表現、
NOT、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image Component

イメージに存在する特定のソフトウェアコンポーネントの名前とバージョン番号。

Image Component

key=value

value はオプションです。

値が見つからない場合は、"key=" の形式にする必要があります。

正規表現、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image OS

イメージのベースオペレーティングシステムの名前およびバージョン番号。たとえば、alpine:3.17.3 です。

Image OS

String

正規表現、
NOT、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

イメージラベルが必要

Docker イメージラベルが存在することを確認します。このポリシーは、デプロイメントのイメージに指定されたラベルがない場合にトリガーされます。キーおよび値フィールドの両方に正規表現を使用して、ラベルを照合できます。Require Image Label ポリシー条件は、Docker レジストリーと統合する場合にのみ機能します。Docker ラベルの詳細は、Docker のドキュメント(https://docs.docker.com/config/labels-custom-metadata/) を参照してください。

Required Image Label

key=value

value はオプションです。

値が見つからない場合は、"key=" の形式にする必要があります。

正規表現、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

許可されていないイメージラベル

特定の Docker イメージラベルが使用されていないことを確認します。このポリシーは、デプロイメントのイメージに指定されたラベルがある場合にトリガーされます。キーおよび値フィールドの両方に正規表現を使用して、ラベルを照合できます。Disallow Image Label ポリシー条件は、Docker レジストリーと統合する場合にのみ適用されます。Docker ラベルの詳細は、Docker のドキュメント(https://docs.docker.com/config/labels-custom-metadata/) を参照してください。

Disallowed Image Label

key=value

value はオプションです。

値が見つからない場合は、"key=" の形式にする必要があります。

正規表現、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

セクション: コンテナー設定

環境変数

名前または値で環境変数を確認します。

環境変数

RAW=key=value は、特定のキーと値を使用してデプロイメント設定で直接指定された環境変数と一致します。value を省略して、キーにのみ一致させることができます。

環境変数が設定で直接定義されていない場合は、SOURCE=KEY 形式を使用できます。SOURCE は SECRET_KEY、CONFIG_MAP_KEY、FIELD、または RESOURCE_FIELD のいずれかです。この場合、基準はキーにのみ一致でき、値には一致できません。

!キーと値の正規表現 (RAW を使用している場合)
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Container CPU Request

特定のリソース用に予約されているコア数を確認します。

Container CPU Request

<、>、⇐、>=、または何もなし (等しいことを意味します)
— と — 
10 進数 (オプションの小数値を含む数値)

例:
>=5 または
9.5

AND, OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Container CPU Limit

リソースが使用できるコアの最大数を確認します。

Container CPU Limit

(コンテナーの CPU 要求と同じ)

AND, OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Container Memory Request

特定のリソース用に予約されているメモリー量を確認します。

Container Memory Request

(コンテナーの CPU 要求と同じ)

AND, OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Container Memory Limit

リソースが使用できるメモリーの最大量を確認します。

Container Memory Limit

(コンテナーの CPU 要求と同じ)

AND, OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Privileged container

特権付きの実行デプロイメント。

Privileged Container

Boolean

✕

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Root filesystem writeability

root ファイルシステムで読み取り専用として設定したコンテナー。

Read-Only Root Filesystem

Boolean

✕

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Seccomp Profile Type

コンテナーに対して許可される seccomp プロファイルのタイプ。

Seccomp Profile Type

以下のいずれかになります。

UNCONFINED
RUNTIME_DEFAULT
LOCALHOST

✕

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Privilege escalation

コンテナープロセスで親プロセスよりも多くの権限を取得できるように設定された場合に、アラートを出します。

Allow Privilege Escalation

Boolean

✕

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Drop Capabilities

コンテナーからドロップする必要がある Linux 機能。たとえば、CAP_SETUID または CAP_NET_RAW です。

Drop Capabilities

以下のいずれかになります。

AUDIT_CONTROL
AUDIT_READ
AUDIT_WRITE
BLOCK_SUSPEND
CHOWN
DAC_OVERRIDE
DAC_READ_SEARCH
FOWNER
FSETID
IPC_LOCK
IPC_OWNER
KILL
LEASE
LINUX_IMMUTABLE
MAC_ADMIN
MAC_OVERRIDE
MKNOD
NET_ADMIN
NET_BIND_SERVICE
NET_BROADCAST
NET_RAW
SETGID
SETFCAP
SETPCAP
SETUID
SYS_ADMIN
SYS_BOOT
SYS_CHROOT
SYS_MODULE
SYS_NICE
SYS_PACCT
SYS_PTRACE
SYS_RAWIO
SYS_RESOURCE
SYS_TIME
SYS_TTY_CONFIG
SYSLOG
WAKE_ALARM

AND, OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Add Capabilities

Raw パケットを送信したり、ファイルパーミッションをオーバーライドする機能など、コンテナーには追加できない Linux 機能。

Add Capabilities

(ドロップ機能と同じ)

AND, OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Container Name

コンテナーの名前。

Container Name

String

正規表現、
NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

AppArmor プロファイル

コンテナーで使用されるアプリケーション Armor ("AppArmor")プロファイル。

AppArmor プロファイル

String

正規表現、
NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Liveness Probe

コンテナーが liveness プローブを定義するかどうか。

Liveness Probe

Boolean

✕

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Readiness Probe

コンテナーが readiness プローブを定義するかどうか。

Readiness Probe

Boolean

✕

Deploy、
Runtime (ランタイム基準とともに使用する場合)

セクション: デプロイメントメタデータ

Disallowed Annotation

指定された環境の Kubernetes リソースには存在できないアノテーション。

Disallowed Annotation

key=value

value はオプションです。

値が見つからない場合は、"key=" の形式にする必要があります。

正規表現、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Required Label

Kubernetes で必要なラベルが存在するかどうかを確認します。

Required Label

key=value

value はオプションです。

値が見つからない場合は、"key=" の形式にする必要があります。

正規表現、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Required Annotation

Kubernetes に必要なアノテーションの有無を確認します。

Required Annotation

key=value

value はオプションです。

値が見つからない場合は、"key=" の形式にする必要があります。

正規表現、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Runtime Class

デプロイメントの RuntimeClass。

Runtime Class

String

正規表現、
NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

ホストネットワーク

HostNetwork が有効になっているかどうかを確認します。これは、コンテナーが別のネットワークスタック内に配置されないことを意味します (たとえば、コンテナーのネットワークはコンテナー化されていません)。これは、コンテナーがホストのネットワークインターフェイスに完全にアクセスできることを意味します。

ホストネットワーク

Boolean

✕

Deploy、
Runtime (ランタイム基準とともに使用する場合)

ホスト PID

Process ID (PID) 名前空間がコンテナーとホスト間で分離されているかどうかを確認します。これにより、異なる PID 名前空間内のプロセスが同じ PID を持つことができます。

ホスト PID

Boolean

✕

Deploy、
Runtime (ランタイム基準とともに使用する場合)

ホスト IPC

ホスト上の IPC (POSIX/SysV IPC) 名前空間 (名前付き共有メモリーセグメント、セマフォ、メッセージキューを分離) がコンテナーと共有されているかどうかを確認します。

ホスト IPC

Boolean

✕

Deploy、
Runtime (ランタイム基準とともに使用する場合)

名前空間

デプロイメントが属する名前空間の名前。

名前空間

String

正規表現、
NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Replicas

デプロイメントレプリカの数。

Replicas

<、>、⇐、>=、または何もなし (等しいことを意味します)
—と— 
10 進数 (オプションの小数値を含む数値)。

例:
>=5 または
9.5

NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

セクション:ストレージ

Volume Name

ストレージの名前。

Volume Name

String

正規表現、
NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Volume Source

ボリュームがプロビジョニングされるフォームを示します。たとえば、persistentVolumeClaim または hostPath です。

Volume Source

String

正規表現、
NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Volume Destination

ボリュームがマウントされるパス。

Volume Destination

String

正規表現、
NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Volume Type

ボリュームの種別を設定します。

Volume Type

String

正規表現、
NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

マウントされたボリュームの書き込み可能性

書き込み可能な状態でマウントされるボリューム。

書き込み可能なマウント済みボリューム

Boolean

✕

Deploy、
Runtime (ランタイム基準とともに使用する場合)

マウントの伝播

コンテナーが Bidirectional、Host to Container、または None モードでボリュームをマウントしているかどうかを確認します。

マウントの伝播

以下のいずれかになります。

NONE
HOSTTOCONTAINER
BIDIRECTIONAL

NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

ホストマウントの書き込み可能性

リソースが、書き込みパーミッションのあるホストにパスをマウントしている。

Writable Host Mount

Boolean

✕

Deploy、
Runtime (ランタイム基準とともに使用する場合)

セクション: ネットワーク

プロトコル

公開されるポートによって使用される TCP や UDP などのプロトコル。

公開ポートプロトコル

String

正規表現、
NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

ポート

デプロイメントによって公開されるポート番号。

公開されるポート

<、>、⇐、>=、または何もなし (等しいことを意味します)
— と — 
整数。

例:
1024 以上
22

NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Exposed Node Port

デプロイメントによって外部に公開されるポート番号。

Exposed Node Port

(公開ポートと同じ)

NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Port Exposure

ロードバランサーやノードポートなど、サービスの公開方法。

ポートの公開方法

以下のいずれかになります。

UNSET
EXTERNAL
NODE
HOST
INTERNAL
ROUTE

NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

検出された予期しないネットワークフロー

検出されたネットワークトラフィックがデプロイメントのネットワークベースラインの一部であるかどうかを確認します。

検出された予期しないネットワークフロー

Boolean

✕

Runtime ONLY - Network

Ingress Network Policy

イングレス Kubernetes ネットワークポリシーの有無を確認します。

Ingress Network Policy がある

Boolean

正規表現、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Egress Network Policy

エグレス Kubernetes ネットワークポリシーの有無を確認します。

Egress Network Policy がある

Boolean

正規表現、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

セクション: プロセスアクティビティー

プロセス名

デプロイメントで実行されるプロセスの名前。

プロセス名

String

正規表現、
NOT、
AND、OR

Runtime のみ - プロセス

Process Ancestor

デプロイメントで実行されるプロセスの親プロセスの名前。

Process Ancestor

String

正規表現、
NOT、
AND、OR

Runtime のみ - プロセス

Process Arguments

デプロイメントで実行されるプロセスのコマンド引数。

Process Arguments

String

正規表現、
NOT、
AND、OR

Runtime のみ - プロセス

Process UID

デプロイメントで実行されるプロセスの UNIX ユーザー ID。

Process UID

Integer

NOT、
AND、OR

Runtime のみ - プロセス

Unexpected Process Executed

デプロイメントにあるロックされたプロセスベースラインで、プロセス実行がリスト表示されていないデプロイメントを確認します。

Unexpected Process Executed

Boolean

✕

Runtime のみ - プロセス

セクション: Kubernetes アクセス

Service Account

サービスアカウントの名前

Service Account

String

正規表現、
NOT、
AND、OR

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Automount Service Account Token

デプロイメント設定がサービスアカウントトークンを自動的にマウントするかどうかを確認します。

Automount Service Account Token

Boolean

✕

Deploy、
Runtime (ランタイム基準とともに使用する場合)

Minimum RBAC Permissions

デプロイメントの Kubernetes サービスアカウントに、指定のレベル以上 (= または >) の Kubernetes RBAC パーミッションレベルがあるかどうかを照合します。

Minimum RBAC Permissions

以下のいずれかになります。

DEFAULT
ELEVATED_IN_NAMESPACE
ELEVATED_CLUSTER_WIDE
CLUSTER_ADMIN

NOT

Deploy、
Runtime (ランタイム基準とともに使用する場合)

セクション: Kubernetes イベント

Kubernetes Action

Pod Exec などの Kubernetes アクションの名前。

Kubernetes Resource

以下のいずれかになります。

PODS_EXEC
PODS_PORTFORWARD

!OR のみ

Runtime ONLY - Kubernetes Events

Kubernetes User Name

リソースにアクセスしたユーザーの名前。

Kubernetes User Name

ハイフン(-)とコロン(:)のみを含む英数字

正規表現、
NOT,
!OR のみ

Runtime ONLY - Kubernetes Events

Kubernetes User Group

リソースにアクセスしたユーザーが属するグループの名前。

Kubernetes User Groups

ハイフン(-)とコロン(:)のみを含む英数字

regex
OR のみ

Runtime ONLY - Kubernetes Events

Kubernetes Resource

configmaps または secrets などのアクセスされた Kubernetes リソースの名前。

Kubernetes Resource

以下のいずれかになります。

SECRETS
CONFIGMAPS

!OR のみ

Runtime ONLY - Audit Log

Kubernetes API Verb

GET や POST などのリソースへのアクセスに使用される Kubernetes API 動詞。

Kubernetes API Verb

以下のいずれかになります。

CREATE
DELETE
GET
PATCH
UPDATE

!OR のみ

Runtime ONLY - Audit Log

Kubernetes Resource Name

アクセスされた Kubernetes リソースの名前。

Kubernetes Resource Name

ハイフン(-)とコロン(:)のみを含む英数字

正規表現、
NOT,
!OR のみ

Runtime ONLY - Audit Log

User Agent

ユーザーがリソースへのアクセスに使用したユーザーエージェント。例: oc、または kubectl

User Agent

String

正規表現、
NOT,
!OR のみ

Runtime ONLY - Audit Log

Source IP Address

ユーザーがリソースにアクセスした IP アドレス。

Source IP Address

IPV4 または IPV6 アドレス

正規表現、
NOT,
!OR のみ

Runtime ONLY - Audit Log

Is Impersonated User

サービスアカウントまたは他のアカウントで権限を偽装ユーザーによって要求が行われたかどうかを確認します。

Is Impersonated User

Boolean

✕

Runtime ONLY - Audit Log