6.2. カスタムセキュリティーポリシー

手順

1. RHACS ポータルで、Platform Configuration Policy Management に移動します。
2. Create policy をクリックします。
3. 以下のセクションでポリシー定義情報を設定します。

1. ポリシーの Name を入力します。
2. このポリシーの Severity レベルを選択します。
3. ポリシーのポリシーカテゴリーを選択します。これは必須フィールドです。
4. Description フィールドに、ポリシーの詳細を入力します。
5. Rationale フィールドにポリシーが存在する理由の説明を入力します。
6. Guidance フィールドでこのポリシーの違反を解決するための手順を入力します。

7. MITRE ATT&CK セクションで、ポリシーに指定する tactics and the techniques を選択します。

   1. Add tactic をクリックし、ドロップダウンリストから調整を選択します。
   2. Add technique をクリックして、選択した戦略の手法を追加します。戦略には、複数の手法を指定できます。
8. Next をクリックします。

1. ポリシーが適用される Lifecycle stages (Build、Deploy、または Runtime) を選択します。以下の選択肢から複数のステージを選択できます。

   • ビルド時ポリシーは、CVE や Dockerfile 手順などのイメージフィールドに適用されます。
   • デプロイ時のポリシーにはすべてのビルドタイムポリシー条件を含めることができますが、特権モードで実行したり、Docker ソケットをマウントするなど、クラスター設定からのデータを含めることもできます。
   • ランタイムポリシーには、すべてのビルド時およびデプロイ時のポリシー条件を含めることができますが、ランタイム時のプロセス実行に関するデータを含めることもできます。

2. Runtime lifecycle stage を選択した場合は、以下の Event sources のいずれかを選択する必要があります。

   • Deployment: イベントソースにプロセスおよびネットワークアクティビティー、Pod 実行、Pod ポート転送が含まれる場合、RHACS はポリシー違反をトリガーします。
   • Audit logs: イベントソースが Kubernetes 監査ログレコードと一致すると、RHACS はポリシー違反をトリガーします。
3. Next をクリックします。

1. Rules セクションで、ポリシーをトリガーする基準を設定します。ルールのタイトルを編集し、Add a new rule をクリックしてさらにルールを追加できます。

2. ルールごとに、ポリシーフィールドをクリックして Policy Section にドラッグし、ポリシーフィールドまたは基準を追加します。

   注記

   利用可能なポリシーフィールドは、ポリシーに選択したライフサイクルステージによって異なります。たとえば、Kubernetes access policies または Networking の基準は、ランタイムライフサイクルのポリシーを作成するときに使用できますが、ビルドライフサイクルのポリシーを作成するときには使用できません。ポリシー条件の詳細 (条件に関する情報や、条件が使用可能なライフサイクルフェーズなど) は、「関連情報」セクションの「ポリシー条件」を参照してください。

3. フィールドごとに、フィールドに固有のオプションから選択できます。これらはフィールドの種類によって異なります。以下に例を示します。

   • 文字列の値の動作はデフォルトで、ポリシーフィールドに対して照合します。フィールドの照合をさせない場合は、Not をクリックします。
   • 一部のフィールドには、true または false のいずれかの値が含まれています。
   • 一部のフィールドでは、ドロップダウンリストから値を選択する必要があります。
   • ブール値が Read-Only Root Filesystem の属性を選択すると、READ-ONLY オプションおよび WRITABLE オプションが表示されます。

   • 環境変数 が複合値の属性を選択すると、Key、Value、および Value From フィールドの値を入力するオプションと、利用可能なオプションの他の値を追加するアイコンが表示されます。

     注記

     詳細は、「関連情報」セクションのポリシー基準を参照してください。

4. 属性に複数の値を組み合わせるには、Add アイコンをクリックします。
5. Next をクリックします。

1. スコープを指定して制限するには、Add inclusion scope をクリックします。これにより、このポリシーを特定のクラスター、namespace、またはデプロイメントラベルにのみ適用できるようになります。複数のスコープを追加したり、namespaces とラベルの RE2 Syntax で正規表現を使用したりすることもできます。

2. 特定のデプロイメント、クラスター、namespace、デプロイメントラベルをポリシーから除外する場合など、スコープ別に除外するには、Add exclusion scope をクリックします。ポリシーは、選択したエンティティーには適用されません。複数のスコープを追加したり、namespaces とラベルの RE2 Syntax で正規表現を使用したりすることもできます。ただし、デプロイメントの選択に正規表現を使用することはできません。

   注記

   この機能は、デプロイおよびランタイムライフサイクルステージ用に設定されたポリシーでのみ使用できます。

3. ビルドライフサイクルステージ用に設定されたポリシーの場合、ポリシーからイメージを除外できます。Exclude images (Build lifecycle only) フィールドに、違反をトリガーしないイメージを入力します。

   注記

   Excluded Images 設定は、Build ライフサイクルステージで継続的インテグレーションシステムでイメージを確認する場合にのみ適用されます。このポリシーを使用して、実行中のデプロイメント (Deploy ライフサイクルステージ) またはランタイムアクティビティー (Runtime ライフサイクルステージ) をチェックする場合、効果はありません。

4. Next をクリックします。

1. ポリシーのアクティベーションの状態を選択します。

2. 適用方法を選択します。

   • Inform: 違反を違反リストに含めます。
   • Inform and enforce: アクションを適用します。このオプションを選択した場合は、ライフサイクル別に切り替えて、ポリシーの適用動作を選択する必要があります。選択できる適用動作は、ポリシー定義の Lifecycle セクションでポリシーごとに選択したライフサイクルステージによって異なります。ライフサイクルステージに応じて、以下の適用動作を利用できます。
   • Build: イメージがポリシーの基準と一致すると、RHACS は継続的インテグレーション (CI) ビルドに失敗します。

   • Deploy: Deploy 段階では、RHACS アドミッションコントローラーが設定され実行されている場合、RHACS はポリシーの条件に一致するデプロイメントの作成と更新をブロックします。

     • アドミッションコントローラーが適用されているクラスターでは、Kubernetes または OpenShift Container Platform サーバーがすべての非準拠のデプロイメントをブロックします。他のクラスターでは、RHACS は準拠していないデプロイメントを編集して、Pod がスケジュールされないようにします。
     • 既存のデプロイメントの場合、ポリシーの変更は、Kubernetes イベントが発生したときに、基準が次に検出されたときにのみ適用されます。適用の詳細は、「デプロイステージのセキュリティーポリシーの適用」を参照してください。

   • Runtime: Pod 内のイベントがポリシーの基準に一致すると、RHACS はすべての Pod を削除します。

     警告

     ポリシーの適用は、実行中のアプリケーションまたは開発プロセスに影響を与える可能性があります。適用オプションを有効にする前に、すべての利害関係者に通知し、自動適用アクションに対応する方法を計画してください。

3. ポリシーに通知機能を添付して、ポリシー違反をメールの受信者や、Jira、Splunk、Webhook を使用するその他のアプリケーションなどの外部ツールに送信します。

   1. リストから通知機能を選択します。

      注記

      通知が表示され、リストで選択できるようにするには、事前に通知を設定しておく必要があります。これらのインテグレーションは、Platform Configuration Integrations ページの Notifier Integrations セクションで設定します。

4. Next をクリックします。

1. ポリシー設定が正しいオプションで設定されていることを確認します。

2. Preview violations パネルには、ビルドフェーズまたはデプロイフェーズのデプロイメントにポリシー違反があるかどうかなどの追加情報が提供されます。

   注記

   ランタイム違反は、今後のイベントに応じて生成されるため、このプレビューでは使用できません。

   ポリシーを保存する前に、違反が正確であるかどうかを確認してください。

3. Save をクリックします。

手順

1. RHACS ポータルに移動し、ナビゲーションメニューから Risk を選択します。
2. ポリシーを作成するローカルページのフィルタリング条件を適用します。
3. New Policy を選択し、必須フィールドに入力して新規ポリシーを作成します。

手順

1. RHACS ポータルで、Platform Configuration Policy Management に移動します。
2. Policies ページから、編集するポリシーを選択します。

3. Actions Edit policy を選択します。

   注記

   デフォルトのポリシーは編集できません。デフォルトポリシーを複製し、複製したポリシーを編集する必要があります。

4. 変更するフィールドを編集し、Save をクリックします。