防御・対策

etcd暗号化

Encrypting Confidential Data at Rest in etcd

定義

Kubernetes APIへ保存されるSecretなどの機密リソースを、etcdへ書き込む前に暗号化し、ストレージやバックアップの取得だけでは内容を読みにくくする設定。

etcd暗号化はEncryptionConfigurationで対象リソースとプロバイダーを指定します。設定追加後も既存データは自動で再暗号化されないため、安全な再書き込み、鍵の保管とローテーション、APIサーバー設定の同期、復旧テストを計画します。

etcd暗号化とは？

etcd暗号化について詳しく知るには？

etcd暗号化のポイントは？

初心者向けには「Kubernetesの保存データをディスク上でも読みにくくする対策」と捉える既存Secretの再暗号化と、複数APIサーバーでの設定整合を確認する鍵を設定ファイルと同じ場所へ無防備に置かず、KMS連携と復旧手順を検討する

利用者が求めたOAuthアプリ権限を、管理者が審査して承認・却下するための運用フロー。…

管理画面や管理APIがインターネットから到達可能な状態。認証強度や脆弱性次第で重大リスクになる。…

Kubernetesでリソース作成・更新リクエストを受け付ける前に、検証や変更を行う制御ポイント。…

Kubernetesなどでリソース作成前に、署名、権限、ラベル、セキュリティ設定を検査して許可・拒否するポリシー。…

組織で利用しているAIサービス、モデル、エージェント、APIキー、データ連携、責任者を一覧化した台帳。…

組織が利用・開発するAIモデル、データ、エージェント、接続先、権限、設定を継続的に可視化し、セキュリティ上の不備とリスク…