第6章 セキュリティーポリシーの管理

セクション: イメージレジストリー

Image Registry

イメージレジストリーの名前。

イメージレジストリー

String

正規表現、
NOT、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image Name

library/nginx など、レジストリー内のイメージのフルネーム。

イメージリモート

String

正規表現、
NOT、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image Tag

イメージの識別子。

イメージタグ

String

正規表現、
NOT、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image Signature

イメージの署名を検証するために使用できる署名統合のリスト。署名がないか、提供された署名統合の少なくとも 1 つによって署名が検証できないイメージに関するアラートを作成します。

Image Signature Verified By

すでに設定されているイメージ署名統合の有効な ID

! OR のみ

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

セクション: イメージの内容

The Common Vulnerabilities and Exposures (CVE) is fixable

この基準は、評価しているデプロイメント内のイメージに修正可能な CVE がある場合にのみ違反となります。

Fixable

ブール値

✕

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Days Since CVE Was First Discovered In Image

この基準は、RHACS が特定のイメージ内で CVE を検出してから、指定された日数を超えた場合にのみ違反となります。

Days Since CVE Was First Discovered In Image

整数

✕

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Days Since CVE Was First Discovered In System

この基準は、RHACS が監視するすべてのクラスター内にデプロイされた全イメージから CVE を検出してから、指定された日数を超えた場合にのみ違反となります。

Days Since CVE Was First Discovered In System

整数

✕

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image age

イメージの作成日からの最小日数。

イメージの経過時間

整数

✕

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image scan age

イメージが最後にスキャンされた後の最小日数。

イメージのスキャン期間

整数

✕

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image User

Dockerfile の USER ディレクティブと一致します。詳細は、https://docs.docker.com/engine/reference/builder/#user を参照してください。

Image User

String

正規表現、
NOT、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Dockerfile Line

命令と引数の両方を含む、Dockerfile の特定の行。

Dockerfile Line

LABEL、RUN、CMD、EXPOSE、ENV、ADD、COPY、ENTRYPOINT、VOLUME、USER、WORKDIR、ONBUILD のいずれか

! 値 (AND、OR) の正規表現のみ

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image scan status

イメージがスキャンされたかどうかを確認します。

スキャンされていないイメージ

ブール値

✕

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Common Vulnerability Scoring System (CVSS)

CVSS: 指定の CVSS よりスコアが大きい (>)、小さい (<)、または等しい (=) 脆弱性を持つイメージを照合するために使用します。

CVSS

<、>、<=、>=、または何もなし (等しいことを意味します)
— と —
10 進数 (オプションの小数値を含む数値)。

例:
>=5 または
9.5

AND, OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Severity

CVSS またはベンダーに基づく脆弱性の重大度。Low、Moderate、Important、Critical のいずれかです。

Severity

<、>、⇐、>=、または何もなし (等しいことを意味します)
— と — 
次のうちのひとつ:
UNKNOWN
LOW
MODERATE
IMPORTANT
CRITICAL

例:
>=IMPORTANT、または
CRITICAL

AND, OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Fixed By

イメージのフラグ付きの脆弱性を修正するパッケージのバージョン文字列。この基準は、CVE 基準などを使用して脆弱性を特定する他の基準に加えて使用される場合があります。

Fixed By

String

正規表現、
NOT、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

CVE

Common Vulnerabilities and Exposures。特定の CVE 番号で使用。

CVE

String

正規表現、
NOT、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image Component

イメージに存在する特定のソフトウェアコンポーネントの名前とバージョン番号。

Image Component

key=value

value はオプションです。

値が見つからない場合は、"key=" の形式にする必要があります。

正規表現、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Image OS

イメージのベースオペレーティングシステムの名前およびバージョン番号。たとえば、alpine:3.17.3 です。

Image OS

String

正規表現、
NOT、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Require image label

Docker イメージラベルが存在することを確認します。このポリシーは、デプロイメントのイメージに指定されたラベルがない場合にトリガーされます。キーおよび値フィールドの両方に正規表現を使用して、ラベルを照合できます。Require Image Label ポリシー条件は、Docker レジストリーと統合する場合にのみ機能します。Docker ラベルの詳細は、Docker のドキュメント (https://docs.docker.com/config/labels-custom-metadata/) を参照してください。

Required Image Label

key=value

value はオプションです。

値が見つからない場合は、"key=" の形式にする必要があります。

正規表現、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

Disallow image label

特定の Docker イメージラベルが使用されていないことを確認します。このポリシーは、デプロイメントのイメージに指定されたラベルがある場合にトリガーされます。キーおよび値フィールドの両方に正規表現を使用して、ラベルを照合できます。'Disallow Image Label policy' 条件は、Docker レジストリーと統合する場合にのみ適用されます。Docker ラベルの詳細は、Docker のドキュメント (https://docs.docker.com/config/labels-custom-metadata/) を参照してください。

Disallowed Image Label

key=value

value はオプションです。

値が見つからない場合は、"key=" の形式にする必要があります。

正規表現、
AND、OR

Build、
Deploy
Runtime (Runtime 条件で使用する場合)

セクション: コンテナー設定

Environment Variable

名前または値で環境変数を確認します。環境変数属性を含むポリシーを作成するときに、ポリシーを照合する環境変数のタイプを選択できます。たとえば、デプロイメント YAML で raw 値を直接指定したり、config map、シークレット、フィールド、リソース要求や制限から値への参照を指定したりできます。デプロイメント YAML で直接指定された raw 値以外のタイプの場合、ポリシールールの対応する value 属性が無視されます。この場合、ポリシーの照合は、指定された環境変数のタイプの存在に基づいて評価されます。さらに、この条件では、raw 値以外のタイプの空でない value 属性を持つポリシーの作成が許可されません。

Environment Variable

RAW=key=value により、デプロイメント YAML で直接指定された環境変数を、特定のキーおよび値と照合します。キーのみを照合する場合は、value 属性を省略できます。

環境変数が設定 YAML で定義されていない場合は、SOURCE=KEY という形式を使用できます。SOURCE は次のいずれかのオブジェクトです。

上記のリストでは、API オブジェクトのラベルを指定してから、括弧内でユーザーインターフェイスのラベルを指定しています。

! キーと値の正規表現 (RAW を使用している場合)
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Container CPU Request

特定のリソース用に予約されているコア数を確認します。

Container CPU Request

<、>、⇐、>=、または何もなし (等しいことを意味します)
— と — 
10 進数 (オプションの小数値を含む数値)

例:
>=5 または
9.5

AND, OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Container CPU Limit

リソースが使用できるコアの最大数を確認します。

Container CPU Limit

(コンテナーの CPU 要求と同じ)

AND, OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Container Memory Request

要求される MB 数 (小数値を含む)。

Container Memory Request

(コンテナーの CPU 要求と同じ)

AND, OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Container Memory Limit

リソースが使用できるメモリーの最大量を確認します。

Container Memory Limit

(コンテナーの CPU 要求と同じ)

AND, OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Privileged container

デプロイメントが特権モードで設定されているかどうかを確認します。この条件は、各 Pod セキュリティーコンテキスト 内の privileged フィールドの値のみを確認します。

Privileged Container

ブール値: 各 PodSecurityContext の privileged フィールドの値が true に設定されている場合、true

✕

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Root filesystem writeability

デプロイメントが readOnlyFilesystem モードで設定されているかどうかを確認します。

Read-Only Root Filesystem

ブール値: 各 PodSecurityContext の readOnlyRootFilesystem フィールドの値が true に設定されている場合、true

✕

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Seccomp Profile Type

デプロイメントに定義された seccomp プロファイルのタイプ。seccomp オプションが Pod レベルとコンテナーレベルの両方で指定されている場合、コンテナーオプションが Pod オプションをオーバーライドします。Security Context を参照してください。

Seccomp Profile Type

以下のいずれかになります。

UNCONFINED
RUNTIME_DEFAULT
LOCALHOST

✕

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Privilege escalation

デプロイメントでコンテナープロセスが親プロセスよりも多くの権限を取得できる場合にアラートを出します。

Allow Privilege Escalation

ブール値

✕

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Drop Capabilities

コンテナーからドロップする必要がある Linux 機能。指定された機能がドロップされない場合にアラートを発行します。たとえば、SYS_ADMIN および SYS_BOOT を使用して設定されており、デプロイメントでこれら 2 つの機能の 1 つだけ が削除されるか、どちらも 削除されない場合、アラートが発生します。

Drop Capabilities

以下のいずれかになります。

ALL
AUDIT_CONTROL
AUDIT_READ
AUDIT_WRITE
BLOCK_SUSPEND
CHOWN
DAC_OVERRIDE
DAC_READ_SEARCH
FOWNER
FSETID
IPC_LOCK
IPC_OWNER
KILL
LEASE
LINUX_IMMUTABLE
MAC_ADMIN
MAC_OVERRIDE
MKNOD
NET_ADMIN
NET_BIND_SERVICE
NET_BROADCAST
NET_RAW
SETGID
SETFCAP
SETPCAP
SETUID
SYS_ADMIN
SYS_BOOT
SYS_CHROOT
SYS_MODULE
SYS_NICE
SYS_PACCT
SYS_PTRACE
SYS_RAWIO
SYS_RESOURCE
SYS_TIME
SYS_TTY_CONFIG
SYSLOG
WAKE_ALARM

AND

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Add Capabilities

Raw パケットを送信したり、ファイルパーミッションをオーバーライドする機能など、コンテナーには追加できない Linux 機能。指定された機能が追加されたときにアラートを出します。たとえば、NET_ADMIN または NET_RAW で設定されており、デプロイメントマニフェスト YAML ファイルにこれら 2 つの機能のうち少なくとも 1 つが含まれている場合、アラートが発生します。

Add Capabilities

AUDIT_CONTROL
AUDIT_READ
AUDIT_WRITE
BLOCK_SUSPEND
CHOWN
DAC_OVERRIDE
DAC_READ_SEARCH
FOWNER
FSETID
IPC_LOCK
IPC_OWNER
KILL
LEASE
LINUX_IMMUTABLE
MAC_ADMIN
MAC_OVERRIDE
MKNOD
NET_ADMIN
NET_BIND_SERVICE
NET_BROADCAST
NET_RAW
SETGID
SETFCAP
SETPCAP
SETUID
SYS_ADMIN
SYS_BOOT
SYS_CHROOT
SYS_MODULE
SYS_PACCT
SYS_PTRACE
SYS_RAWIO
SYS_RESOURCE
SYS_TIME
SYS_TTY_CONFIG
SYSLOG
WAKE_ALARM

OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Container Name

コンテナーの名前。

Container Name

String

正規表現、
NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

AppArmor プロファイル

コンテナーで使用されるアプリケーション Armor ("AppArmor") プロファイル。

AppArmor プロファイル

String

正規表現、
NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Liveness Probe

コンテナーが liveness プローブを定義するかどうか。

Liveness Probe

ブール値

✕

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Readiness Probe

コンテナーが readiness プローブを定義するかどうか。

Readiness Probe

ブール値

✕

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

セクション: デプロイメントメタデータ

Disallowed Annotation

指定された環境の Kubernetes リソースには存在できないアノテーション。

Disallowed Annotation

key=value

value はオプションです。

値が見つからない場合は、"key=" の形式にする必要があります。

正規表現、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Required Label

Kubernetes で必要なラベルが存在するかどうかを確認します。

Required Label

key=value

value はオプションです。

値が見つからない場合は、"key=" の形式にする必要があります。

正規表現、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Required Annotation

Kubernetes に必要なアノテーションの有無を確認します。

Required Annotation

key=value

value はオプションです。

値が見つからない場合は、"key=" の形式にする必要があります。

正規表現、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Runtime Class

デプロイメントの RuntimeClass。

Runtime Class

String

正規表現、
NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

ホストネットワーク

HostNetwork が有効になっているかどうかを確認します。これは、コンテナーが別のネットワークスタック内に配置されないことを意味します (たとえば、コンテナーのネットワークはコンテナー化されていません)。これは、コンテナーがホストのネットワークインターフェイスに完全にアクセスできることを意味します。

ホストネットワーク

ブール値

✕

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Host PID

Process ID (PID) namespace がコンテナーとホスト間で分離されているかどうかを確認します。これにより、異なる PID namespace 内のプロセスが同じ PID を持つことができます。

Host PID

ブール値

✕

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Host IPC

ホスト上の IPC (POSIX/SysV IPC) namespace (名前付き共有メモリーセグメント、セマフォ、メッセージキューを分離する namespace) が、コンテナーと共有されているかどうかを確認します。

Host IPC

ブール値

✕

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Namespace

デプロイメントが属する namespace の名前。

Namespace

String

正規表現、
NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

レプリカ

デプロイメントレプリカの数。oc scale を使用してデプロイメントのレプリカを 0 から特定の数値にスケーリングする場合は、デプロイメントがポリシーに違反すると、アドミッションコントローラーがこのアクションをブロックします。

レプリカ

<、>、⇐、>=、または何もなし (等しいことを意味します)
—と— 
10 進数 (オプションの小数値を含む数値)。

例:
>=5 または
9.5

NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

セクション: ストレージ

Volume Name

ストレージの名前。

Volume Name

String

正規表現、
NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Volume Source

ボリュームがプロビジョニングされるフォームを示します。たとえば、persistentVolumeClaim または hostPath です。

Volume Source

String

正規表現、
NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Volume Destination

ボリュームがマウントされるパス。

Volume Destination

String

正規表現、
NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Volume Type

ボリュームの種別を設定します。

Volume Type

String

正規表現、
NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

マウントされたボリュームの書き込み可能性

書き込み可能な状態でマウントされるボリューム。

書き込み可能なマウント済みボリューム

ブール値

✕

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

マウントの伝播

コンテナーが Bidirectional、Host to Container、または None モードでボリュームをマウントしているかどうかを確認します。

マウントの伝播

以下のいずれかになります。

NONE
HOSTTOCONTAINER
BIDIRECTIONAL

NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

ホストマウントの書き込み可能性

リソースが、書き込み権限のあるホストにパスをマウントしている。

Writable Host Mount

ブール値

✕

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

セクション: ネットワーク

プロトコル

公開されるポートによって使用される TCP や UDP などのプロトコル。

公開ポートプロトコル

String

正規表現、
NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

ポート

デプロイメントによって公開されるポート番号。

公開されるポート

<、>、⇐、>=、または何もなし (等しいことを意味します)
— と — 
整数。

例:
1024 以上
22

NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Exposed Node Port

デプロイメントによって外部に公開されるポート番号。

Exposed Node Port

(公開ポートと同じ)

NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Port Exposure

ロードバランサーやノードポートなど、サービスの公開方法。

ポートの公開方法

以下のいずれかになります。

UNSET
EXTERNAL
NODE
HOST
INTERNAL
ROUTE

NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

検出された予期しないネットワークフロー

検出されたネットワークトラフィックがデプロイメントのネットワークベースラインの一部であるかどうかを確認します。

検出された予期しないネットワークフロー

ブール値

✕

Runtime ONLY - Network

Ingress Network Policy

イングレス Kubernetes ネットワークポリシーの有無を確認します。

Ingress Network Policy がある

ブール値

正規表現、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Egress Network Policy

エグレス Kubernetes ネットワークポリシーの有無を確認します。

Egress Network Policy がある

ブール値

正規表現、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

セクション: プロセスアクティビティー

プロセス名

デプロイメントで実行されるプロセスの名前。

プロセス名

String

正規表現、
NOT、
AND、OR

ランタイム のみ - プロセス

Process Ancestor

デプロイメントで実行されるプロセスの親プロセスの名前。

Process Ancestor

String

正規表現、
NOT、
AND、OR

ランタイム のみ - プロセス

Process Arguments

デプロイメントで実行されるプロセスのコマンド引数。

Process Arguments

String

正規表現、
NOT、
AND、OR

ランタイム のみ - プロセス

Process UID

デプロイメントで実行されるプロセスの UNIX ユーザー ID。

Process UID

整数

NOT、
AND、OR

ランタイム のみ - プロセス

Unexpected Process Executed

デプロイメントにあるロックされたプロセスベースラインで、プロセス実行がリスト表示されていないデプロイメントを確認します。

Unexpected Process Executed

ブール値

✕

ランタイム のみ - プロセス

セクション: Kubernetes アクセス

Service Account

サービスアカウントの名前

Service Account

String

正規表現、
NOT、
AND、OR

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Automount Service Account Token

デプロイメント設定がサービスアカウントトークンを自動的にマウントするかどうかを確認します。

Automount Service Account Token

ブール値

✕

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

Minimum RBAC Permissions

デプロイメントの Kubernetes サービスアカウントに、指定のレベル以上 (= または >) の Kubernetes RBAC パーミッションレベルがあるかどうかを照合します。

Minimum RBAC Permissions

以下のいずれかになります。

DEFAULT
ELEVATED_IN_NAMESPACE
ELEVATED_CLUSTER_WIDE
CLUSTER_ADMIN

NOT

デプロイ、
ランタイム (ランタイムの条件とともに使用する場合)

セクション: Kubernetes イベント

Kubernetes Action

Pod Exec などの Kubernetes アクションの名前。

Kubernetes Resource

以下のいずれかになります。

PODS_EXEC
PODS_PORTFORWARD

! OR のみ

Runtime ONLY - Kubernetes Events

Kubernetes User Name

リソースにアクセスしたユーザーの名前。

Kubernetes User Name

ハイフン (-) とコロン (:) のみを含む英数字

正規表現、
NOT,
!OR のみ

Runtime ONLY - Kubernetes Events

Kubernetes User Group

リソースにアクセスしたユーザーが属するグループの名前。

Kubernetes User Groups

ハイフン (-) とコロン (:) のみを含む英数字

正規表現、
NOT,
!OR のみ

Runtime ONLY - Kubernetes Events

Kubernetes Resource Type

アクセスされた Kubernetes リソースのタイプ。

Kubernetes Resource

以下のいずれかになります。

config map
シークレット
ClusterRoles
ClusterRoleBindings
NetworkPolicies
SecurityContextConstraints
EgressFirewalls

! OR のみ

Runtime ONLY - Audit Log

Kubernetes API Verb

GET や POST などのリソースへのアクセスに使用される Kubernetes API 動詞。

Kubernetes API Verb

以下のいずれかになります。

CREATE
DELETE
GET
PATCH
UPDATE

! OR のみ

Runtime ONLY - Audit Log

Kubernetes Resource Name

アクセスされた Kubernetes リソースの名前。

Kubernetes Resource Name

ハイフン (-) とコロン (:) のみを含む英数字

正規表現、
NOT,
!OR のみ

Runtime ONLY - Audit Log

User Agent

ユーザーがリソースへのアクセスに使用したユーザーエージェント。例: oc、または kubectl

User Agent

String

正規表現、
NOT,
!OR のみ

Runtime ONLY - Audit Log

Source IP Address

ユーザーがリソースにアクセスした IP アドレス。

Source IP Address

IPV4 または IPV6 アドレス

正規表現、
NOT,
!OR のみ

Runtime ONLY - Audit Log

Is Impersonated User

サービスアカウントまたは他のアカウントで権限を偽装ユーザーによって要求が行われたかどうかを確認します。

Is Impersonated User

ブール値

✕

Runtime ONLY - Audit Log