HOME
Certified Kubernetes Security Specialist (CKS) セキュリティ専門

「Certified Kubernetes Security Specialist (CKS) セキュリティ専門」の記事一覧

Linuxの `auditd` サービスを使用して、`/etc/kubernetes/pki` ディレクトリへのアクセスを監視するルールを追加するコマンドはどれか。

auditctl -w /etc/kubernetes/pki -p wa -k

2026年1月24日

RBACにおいて、`impersonate` 権限を持つユーザーが `system:masters` グループに偽装できる場合、どのようなリスクがあるか。

クラスタ管理者権限を取得し、完全な制御が可能になる

2026年1月24日

コントロールプレーンのコンポーネント（etcd, kube-apiserverなど）間の通信をmTLSで保護するために、すべてのコンポーネントで共有する必要がある信頼の基点となるファイルはどれか。

コントロールプレーンのコンポーネント間の通信をmTLSで保護するはCA証明書 ca.crt

2026年1月24日

PodのlivenessProbeにexecアクションを設定し、シェルスクリプトを実行する場合のセキュリティリスクはどれか。

コンテナ内にシェルや必要なバイナリを含める必要があり、攻撃者の足場となる可能性がある

2026年1月24日

特定のNamespaceにResourceQuotaを設定し、Secretsの数を制限する主なセキュリティ上の理由はどれか。

etcdのストレージ容量を圧迫するDoG攻撃や乱用を防ぐ

2026年1月24日

`check-config.sh` を実行した際、`CONFIG_SECCOMP` が `enabled` であることが確認できた。これは何を意味するか。

カーネルがSeccomp機能をサポートしており、コンテナのシステムコール制限が可能である

2026年1月24日

APIサーバー証明書のSubject Alternative Names (SANs) に含まれていなければならないIPアドレスはどれか。

K8s Service のClusterIP

2026年1月24日

Falcoの出力チャネルとして、別のプログラムにイベントをJSON形式でパイプ渡しする場合の設定はどれか。

別のプログラムにイベントをJSON形式でパイプ渡しする場合の設定はprogram_output

2026年1月24日

Podの `automountServiceAccountToken: false` を設定したにもかかわらず、アプリケーションがAPIサーバーにアクセスする必要がある場合、最も安全な代替手段はどれか。

TokenRequest APIを使用して短期間有効なトークンを取得してマウントする

2026年1月24日

Cosignを使用してコンテナイメージの署名を検証する際、公開鍵を指定するフラグはどれか。

--key で該当設定を行う

2026年1月24日