第5章 ポリシーを使用したセキュリティーの提供

RHACS ポリシーエンジンは、ポリシー基準に基づいて作成したポリシーを評価します。ビルド、デプロイ、ランタイムの各ステージで動作が異なります。

RHACS は、roxctl CLI を使用して、リクエストに応じてポリシールールを評価できます。ビルド段階でポリシーに違反すると、違反テキストとエラーコードによって開発者は何が失敗したのか、そしてどのように修正すればよいのかを知ることができます。パイプラインを失敗させるエラーコードを設定できます。このステージでは、RHACS はスタンドアロンイメージとデプロイメントの両方を適用可能なポリシーに照らして評価できます。ビルドステージからの違反は、通知機能を使用して保存またはルーティングされません。

RHACS は、デプロイメントの試行中にワークロードを検査するときに、デプロイメントステージポリシーを使用します。これらのポリシーは、次のようなワークロード基準で構成されます。

デプロイステージポリシーをビルドするときに、イメージレジストリー、イメージコンテンツ、CVE データなどのイメージ基準を含めることもできます。これは、パイプラインのビルドとデプロイメントの試行の両方で同じ要件を評価する場合に役立ちます。これにより、イメージとワークロードの両方の基準を含むポリシーを作成し、それをビルドステージとデプロイステージの両方で使用できるため、ポリシーを重複させる必要がなくなります。

RHACS は、Kubernetes または OpenShift Container Platform が、ポリシーの基準に一致するデプロイメント、デーモンセット、ジョブなどのワークロードが作成または更新されないようにします。これは、ビルドが成功した場合でも、重大な問題のあるデプロイメントをシャットダウンする場合に役立ちます。

RHACS は、デプロイメントが実行された後も、適用可能なポリシーに対してデプロイメントを継続的に評価します。ランタイムポリシーは、Kubernetes クラスター内で実行中の Pod を監視し、許可されていないワークロードアクティビティー、ベースラインからの逸脱、または禁止されている Kubernetes リソース操作を報告または防止するために使用されます。RHACS は、安全でない Kubernetes リクエストを監視し、API を使用してそれらを選択的にブロックできます。たとえば、RHACS は config map またはシークレットへのアクセス試行をブロックできます。

ランタイムポリシーでは、次の 2 つのイベントソースを検査できます。

ランタイムポリシーには、次の理由により、ビルドステージとデプロイステージの基準も含めることができます。

監査ログポリシーは、シークレットや ClusterRoleBinding などの機密性の高い Kubernetes リソースに関連するアクションについて Kubernetes 監査ログを検査するために使用されます。これには、次のような特徴があります。

RHACS でポリシーを設定する場合、セキュリティーポリシーに違反する状態を検出したときに RHACS がどのように応答するかを設定できます。

RHACS を使用すると、開発ライフサイクルのすべてのフェーズ (ビルド、デプロイ、ランタイム) でセキュリティーポリシーを適用できます。

RHACS は、次の 2 種類のポリシー適用を提供します。

アドミッションコントローラーの適用の詳細は、「アドミッションコントローラーの適用について」を参照してください。

...
admissionControl:
   namespaceSelector:
    matchExpressions:
    - key: namespace.metadata.stackrox.io/name
      operator: NotIn
      values:
        - stackrox
        - kube-system
        - kube-public
        - istio-system
        - example-namespace
...

...
admissionControl:
   namespaceSelector:
    matchExpressions:
    - key: namespace.metadata.stackrox.io/name
      operator: NotIn
      values:
        - stackrox
        - kube-system
        - kube-public
        - istio-system
        - example-namespace
...

RHACS ポリシーは、セキュリティールールと、これらのルールに違反したときに RHACS が実行するアクションを定義する構造化テキストオブジェクトです。

RHACS ポリシーには次の部分が含まれます。

ポリシー管理 には、セキュリティーチームが適切なガードレールを確立するために実行する一連のアクティビティーが含まれます。これらのアクティビティーはすべて、ポリシーが評価される 前 に行われます。違反管理 とは、セキュリティーチームと開発者チームが、セキュリティーインシデントへの対処を支援し、ポリシー違反を修正するために行う、一連のアクティビティーです。これらすべてのアクティビティーは、ポリシーに違反した後に発生します。

Red Hat Advanced Cluster Security for Kubernetes のデフォルトのセキュリティーポリシーは、セキュリティーの問題を特定し、環境内のセキュリティーのベストプラクティスを確保するための幅広い範囲を提供します。これらのポリシーを設定することで、環境内でのリスクの高いサービスのデプロイを自動的に防止し、ランタイムのセキュリティーインシデントに対応できます。

重大度別に分類されたデフォルトのセキュリティーポリシーのリストについては、「ポリシーリファレンス」を参照してください。

RHACS を使用すると、開発のビルド、デプロイ、実行フェーズ中にセキュリティーを提供するためのカスタムセキュリティーポリシーを作成できます。次の方法でカスタムセキュリティーポリシーを作成できます。

詳細は、「カスタムセキュリティーポリシーの作成と変更」を参照してください。

ポリシーをエクスポートおよびインポートすることで、RHACS ポータル内の異なる Central インスタンス間でセキュリティーポリシーを共有できます。ポリシーを共有すると、すべてのクラスターに同じ標準を適用できるようになります。ポリシーを共有するには、JSON ファイルとしてエクスポートして、別の Central インスタンスにインポートし直す必要があります。