HOME
Certified Kubernetes Security Specialist (CKS) セキュリティ専門

「Certified Kubernetes Security Specialist (CKS) セキュリティ専門」の記事一覧

OPA Gatekeeperにおいて、`Constraint` リソースは何を定義するものか。

ConstraintTemplateで定義されたルールの具体的なパラメータと適用範囲

2026年1月24日

ホストOS上で、特定のユーザー（例: ubuntu）が `sudo` コマンドを実行した際のログは通常どこに記録されるか（Ubuntu/Debian系の場合）。

sudoコマンドは/var/log/auth.log

2026年1月24日

不正なプロセスが `/bin/bash` を `/tmp/bash` にコピーして実行しようとした場合、これを防ぐためにPodのSecurityContextで設定すべき項目はどれか。

ルートFS読取専用を有効化

2026年1月24日

kube-apiserverの `–tls-cipher-suites` フラグを設定する主な目的はどれか。

強力な暗号スイートのみを許可し、既知の脆弱性がある古い暗号化方式を無効化する

2026年1月24日

マルチステージビルドを使用して、ビルド環境（Golangなど）と実行環境（Alpineなど）を分ける主なセキュリティ上のメリットはどれか。

コンパイラやビルドツールが本番イメージに含まれない

2026年1月24日

Kubernetes APIサーバーの `–audit-log-maxsize` フラグのデフォルト単位は何か。

--audit-log-maxsizeフラグはメガバイト MB

2026年1月24日

コンテナ内からホストのカーネルモジュールをロード（insmod）できないようにするために、削除すべきLinux Capabilityはどれか。

カーネルモジュール操作の権限

2026年1月24日

特定のPodが、メタデータサービスなどの機密エンドポイントにアクセスできないように、NetworkPolicyの `egress` ルールで許可する通信先をDNS名ではなくIPブロックで制限する場合の記述はどれか。

egressはipBlock

2026年1月24日

RBACにおいて、ユーザーが自身の所属するグループを確認するために、kubectlコマンドで偽装（Impersonation）を行うフラグはどれか。

--asで該当設定を行う

2026年1月24日

Falcoがシステムコールイベントを収集するためにカーネルにロードするコンポーネントはどれか（最新のeBPFプローブを除く従来の方法）。

Falcoはkmodでsyscallイベントを収集

2026年1月24日