Container Service for Kubernetes:共有責任モデル

Alibaba Cloudの責任

Alibaba Cloudは、包括的なプラットフォームセキュリティ機能を使用して、クラウド内のコンピューティング、ストレージ、ネットワークリソースなど、コントロールプレーンで使用されるインフラストラクチャリソースのセキュリティを確保します。 さらに、Alibaba Cloudは、Alibaba Cloud Linux security Hardeningなどのセキュリティ保護機能によって定義されたセキュリティベースラインに基づいて、制御プレーンコンポーネントの設定とイメージのセキュリティを強化します。 OSの脆弱性またはKubernetesコンポーネントの脆弱性が発見されると、アリババクラウドはできるだけ早い機会に脆弱性通知をリリースする。 Alibaba Cloudは、脆弱性を修正するためのパッチ、新しいOSバージョン、または新しいコンポーネントバージョンもリリースします。 エンタープライズクラスのクラウドネイティブアプリケーションのライフサイクル管理が必要なシナリオでセキュリティ保護要件を満たすために、Alibaba cloudはセキュリティ保護機能とセキュリティのベストプラクティスを提供しています。

顧客の責任

お客様のセキュリティO&Mエンジニアは、クラウドにデプロイされたアプリケーションのセキュリティ保護の実施、およびクラウドリソースのセキュリティ設定の設定と更新を担当します。 以下の操作が含まれます。

• Alibaba Cloudが提供するリリースノート、脆弱性パッチ、またはバージョン更新に基づいて、オペレーティングシステム、システムコンポーネント、およびコンテナーランタイムに関連する脆弱性を修正します。

• セキュリティ原則に基づいて、ACKクラスター、ノードプール、およびネットワークリソースのセキュリティ設定を構成します。 攻撃者が悪用する可能性のあるセキュリティパラメーターや権限設定は構成しないでください。

• 最小限の権限の原則に従い、資格情報の管理、セキュリティポリシーの展開と実装、およびセキュリティパラメーターの構成に必要な権限のみをアプリケーション、アカウント、またはロールに付与します。

• アプリケーション成果物のサプライチェーンのセキュリティを確保します。

• 機密データとアプリケーションランタイム環境のセキュリティを確保します。

• 辞任した従業員または信頼できない個人の場合、RAMユーザーまたはRAMロールを削除しても、kubeconfigファイルにあるロールベースのアクセス制御 (RBAC) 権限は自動的に取り消されません。 したがって、RAMユーザーまたはユーザーのRAMロールを削除する前に、kubeconfigファイルを取り消す必要があります。 詳細については、「KubeConfig資格情報の取り消し」をご参照ください。

責任の共有モデルを理解する

ビジネスシステムを設計およびデプロイする前に、アリババクラウドと企業との間の共有責任モデルおよび責任境界を理解しておく必要がある。

次の図は、ACK管理クラスターで使用される共有責任モデルを示しています。

ACKサーバーレスクラスターを使用する場合、またはackマネージドクラスターにACK-virtual-nodeをデプロイする場合、Alibaba Cloudは、ポッドが実行されるコントロールプレーンコンポーネント、インフラストラクチャ、およびElastic Container Instance (ECI) のセキュリティを保証します。 ユーザーは、パッチを適用できるようにポッドの再作成を担当します。 次の図は、ACKサーバーレスクラスターまたはack管理クラスターにデプロイされたACK-virtual-nodeのセキュリティを確保するために使用される共有責任モデルを示しています。

クラスターがマネージドノードプールを使用している場合、Alibaba Cloudはマネージドノードプールの設定に基づいて、OSの脆弱性パッチ適用とkubeletバージョン更新を自動化できます。 OSパッチはSecurity Centerによって提供されます。 カスタムOSイメージを使用してクラスターにノードをデプロイする場合、OSの脆弱性は手動でのみ修正できます。 次の図は、管理対象ノードプールがACK管理クラスターに作成されるときに使用される共有責任モデルを示しています。