HOME
Certified Kubernetes Security Specialist (CKS) セキュリティ専門

「Certified Kubernetes Security Specialist (CKS) セキュリティ専門」の記事一覧

ServiceAccountに `automountServiceAccountToken: false` を設定した場合、APIサーバーと通信する必要があるアプリはどうすればよいか。

TokenRequest APIを使用してトークンを取得するか

2026年1月24日

CIS Benchmarkの修正を行う際、`/etc/kubernetes/manifests` 内のファイルを変更した。変更を反映させるための最も確実な方法はどれか。

Kubeletがファイルの変更を検知して自動的にPodを再起動するのを待つ

2026年1月24日

コンテナ内からホストのDockerソケット（`/var/run/docker.sock`）をマウントすることのセキュリティリスクはどれか。

コンテナ内からホスト上のDockerデーモンを操作し、任意のコンテナを作成・実行することで

2026年1月24日

特定のグループ（例: developers）に対して、`secrets` の読み取りを許可せず、それ以外のアクションを許可したい場合、RBACでどのように定義するのが効率的か。

`secrets` に対する `create`, `update`, `delete`

2026年1月24日

OPA Gatekeeperで、すべてのNamespaceに特定のラベル（例: `gatekeeper=enabled`）があるかチェックするポリシーを作成する際、対象外とすべきNamespace（システム系）は通常どれか。

kube-system, kube-public, kube-node-lease

2026年1月24日

AppArmorプロファイルを作成する際、`flags=(attach_disconnected,mediate_deleted)` は何のために指定するか。

ファイルパスが名前空間の外にある場合や削除されたファイルへのアクセスを適切に制御・報告する

2026年1月24日

Kubeletが起動時にスワップ（Swap）が有効であると検知した場合のデフォルトの挙動はどれか。

起動に失敗するK8sはスワップ無効化を前提としている

2026年1月24日

Podの `securityContext` で `privileged: true` を設定したコンテナは、ホストの `/dev` ディレクトリに対してどのようなアクセス権を持つか。

/devはすべてのデバイスにアクセス可能になる

2026年1月24日

Falcoの設定ファイル `falco.yaml` を変更した後、プロセスを再起動せずに設定をリロードする方法（ホットリロード）はどれか。

falco.yamlはSIGHUPシグナルを送信する（kill -1 ）

2026年1月24日

RBACの `bind` 動詞はどのリソースに対して使用されるか。

roles, clusterroles

2026年1月24日