HOME
Certified Kubernetes Security Specialist (CKS) セキュリティ専門

「Certified Kubernetes Security Specialist (CKS) セキュリティ専門」の記事一覧

Ingressコントローラーが `ExternalIP` を持つServiceとして公開されている場合、そのIPへのDDoS攻撃を防ぐためのKubernetes外の対策は通常何か。

クラウドプロバイダのDDoS保護サービスや前段のロードバランサーでの緩和

2026年1月24日

RBACの `ClusterRole` を作成したが、どの `ClusterRoleBinding` にも `RoleBinding` にも紐付けられていない場合、そのロールは有効か。

定義としては存在するが、誰にも権限が付与されていない

2026年1月24日

Kubeletの `–anonymous-auth=false` 設定時に、Kubeletのヘルスチェックエンドポイント（/healthz）へのアクセスはどうなるか。

/healthz は認証なしでアクセス可能

2026年1月24日

コンテナランタイムとして `gVisor` を使用する場合、制限される事項やトレードオフはどれか。

システムコールのオーバーヘッドにより、ネイティブ実行に比べてパフォーマンスが低下する場合がある

2026年1月24日

Service Mesh（Linkerd等）がmTLSのために自動的に発行・更新する証明書の有効期間は通常どのくらいか。

非常に短い自動ローテーションされる

2026年1月24日

Linuxの `cap_net_admin` ケーパビリティを持つコンテナ侵害された場合、攻撃者が実行可能な危険な操作はどれか。

ネットワークインターフェースの設定変更、ファイアウォールルールの操作

2026年1月24日

`kubectl cp` コマンドが内部的に `tar` を使用していることに起因するセキュリティリスクを軽減するために、コンテナイメージから削除しておくべきバイナリはどれか。

tarコマンドはtar

2026年1月24日

APIサーバーの `–audit-policy-file` で定義するポリシーにおいて、`omitStages` フィールドを使用する目的はどれか。

特定のステージのイベント生成を省略し、ノイズを減らしパフォーマンスを向上させる

2026年1月24日

Falcoの設定 `syscall_event_drops` アクションにおいて、イベントドロップ（取りこぼし）が発生した際にログ出力するかどうかを制御する設定はどれか。

syscall_event_dropsはlog_level

2026年1月24日

特定のPodが、メタデータサービス（169.254.169.254）へのアクセスを必要とする正当な理由がある場合（AWS Load Balancer Controller等）、NetworkPolicyでどう対処すべきか。

Podに対してのみ、Egressルールで当該IPへのアクセスを許可する

2026年1月24日