HOME
Certified Kubernetes Security Specialist (CKS) セキュリティ専門

「Certified Kubernetes Security Specialist (CKS) セキュリティ専門」の記事一覧

RBAC権限の確認において、`kubectl auth can-i` コマンドが `yes` を返したとしても、実際には操作が失敗する可能性がある要因はどれか。

Admission Controllerによる拒否

2026年1月24日

APIサーバーの `–service-account-signing-key-file` フラグは、何のために使用されるか。

SAトークンに署名する

2026年1月24日

`apparmor_parser` コマンドでプロファイルをカーネルにロードする際、既存のプロファイルを上書き（置換）するオプションはどれか。

apparmor_parserコマンドは-r replace

2026年1月24日

Pod Security Admission (PSA) は、以前のPod Security Policy (PSP) と比較して、どのようなアーキテクチャ上の違いがあるか。

PSAはAdmission Controllerとして実装され、CRDを使用せず

2026年1月24日

特権コンテナ（Privileged Container）内で `/sys` ファイルシステムがマウントされている場合、攻撃者は何ができるか。

ホストのカーネル/ハード設定を変更し制御奪取可

2026年1月24日

Kubeletの `authenticationTokenWebhook` を有効にすると、KubeletはBearer Tokenを受け取った際に何を検証するか。

TokenReview APIを使用してAPIサーバーにトークンの有効性を問い合わせる

2026年1月24日

`etcd` の通信において、`–peer-cert-file` と `–peer-key-file` が設定されていない場合のリスクはどれか。

etcdクラスタメンバー間の通信が暗号化されず、認証も行われない

2026年1月24日

NetworkPolicyで、特定のPodに対して `Ingress` ポリシーのみを適用し、`Egress` ポリシーを適用しない場合、Egress通信（外向き）はどうなるか。

制限されず、すべてのEgress通信が許可される

2026年1月24日

Falcoがシステムコールを検知できないケースとして、メモリマップされたファイル（mmap）への書き込みがある。これを検知するのが難しい理由はどれか。

mmapによる書き込みはシステムコールを発行せず、メモリ操作として処理される

2026年1月24日

RBACにおいて、特定のユーザーが「全てのServiceAccount」になりすます（Impersonate）ことができる権限を与える、危険なClusterRoleの定義はどれか。

resources: ["serviceaccounts"], verbs:

2026年1月24日