解決策（ステップバイステップ）：
1. PSP YAMLファイルを作成します。

2. PSPを適用する: bash kubectl apply -f restricted-psp.yaml 3. securityContextを使用してデプロイメントを作成する

4. デプロイメントを適用します: bash kubectl apply -f myapp-deploymentyaml 注: この構成では、「restricted-psps」が名前空間全体に適用されていることを前提としています。特定のポッドまたはデプロイメントにPSPを適用することで、よりきめ細かなアプローチが可能です。

フィードバックをお送りください。

$ k get ns qa --show-labels
名前 ステータス 年齢 ラベル
qa アクティブ 47m env=stage
$ k ポッドを取得 -n dev --show-labels
名前準備完了ステータスが年齢ラベルを再開
製品 1/1 実行中 0 3秒 env=dev-team
apiバージョン: networking.k8s.io/v1
種類: ネットワークポリシー
メタデータ:
名前: 制限ポリシー
名前空間: dev
仕様:
ポッドセレクター:
一致ラベル:
環境: 開発チーム
ポリシータイプ:
- イングレス
入口:
- から：
- 名前空間セレクター:
一致ラベル:
環境: ステージ
- ポッドセレクター:
一致ラベル:
環境: ステージ
[desk@cli] $ k get ns qa --show-labels
名前 ステータス 年齢 ラベル
qa アクティブ 47m env=stage
[desk@cli] $ k ポッドを取得 -n dev --show-labels
名前準備完了ステータスが年齢ラベルを再開
製品 1/1 実行中 0 3秒 env=dev-team
[desk@cli] $ vim netpol2.yaml
apiバージョン: networking.k8s.io/v1
種類: ネットワークポリシー
メタデータ:
名前: 制限ポリシー
名前空間: dev
仕様:
ポッドセレクター:
一致ラベル:
環境: 開発チーム
ポリシータイプ:
- イングレス
入口:
- から：
- 名前空間セレクター:
一致ラベル:
環境: ステージ
- ポッドセレクター:
一致ラベル:
環境: ステージ
[desk@cli] $ k apply -f netpol2.yaml 参考: https://kubernetes.io/docs/concepts/services-networking/network-policies/
[desk@cli] $ k apply -f netpol2.yaml 参考: https://kubernetes.io/docs/concepts/services-networking/network-policies/

完全な解決策については、以下の説明を参照してください。
Explanation:
1) 正しいホストに接続する
ssh cks000028
sudo -i
(試験でのホスト名が異なる場合は、質問バナーに表示されているホスト名を使用してください。)
2) APIサーバーの静的ポッドマニフェストを編集する
API サーバーは kubeadm 内の静的ポッドです。
/etc/kubernetes/manifests/kube-apiserver.yaml 内
3) 監査を有効にするためにAPIサーバーを構成する
コマンド:セクション内で、以下のフラグがすべて存在することを確認してください。
(不足している場合は追加し、存在する場合は変更します)。
3.1 指定された監査ポリシーファイルを使用する
- --audit-policy-file=/etc/kubernetes/logpolicy/audit-policy.yaml
3.2 監査ログを必要な場所に保存する
- --audit-log-path=/var/log/kubernetes/audit-logs.txt
3.3 最大2つのログファイルを保持する
- --audit-log-maxbackup=2
3.4 ログを10日間保存する
- --監査ログ最大年齢=10
✅ 例 (ファイルにはさらに多くのフラグがある可能性があります - 問題ありません):
- 指示：
- be-apiserver
- --audit-policy-file=/etc/kubernetes/logpolicy/audit-policy.yaml
- --audit-log-path=/var/log/kubernetes/audit-logs.txt
- --audit-log-maxbackup=2
- --監査ログ最大年齢=10
保存して終了します:
:wq
API サーバーは自動的に再起動します (静的ポッド)。
オプションのクイックチェック:
ドッカー ps | grep kube-apiserver
4) 監査ポリシーを編集して拡張する
指定された基本ポリシーを開きます。
/etc/kubernetes/logpolicy/audit-policy.yaml 内
ファイルには、ログに記録しない内容に関するルールがすでに含まれています。
それらの下にルールを追加する必要があります (既存のルールを削除しないでください)。
5) 必要な監査ルールを追加します（正確な順序）
次のルールをこの順序で追加します (監査ポリシーでは順序が重要です)。
5.1 RequestResponseで名前空間のやり取りをログに記録する
- レベル: リクエストレスポンス
リソース：
- グループ： ""
リソース: ["名前空間"]
5.2 名前空間 webapps にデプロイメントリクエスト本体をログに記録する
- レベル: リクエストレスポンス
名前空間: ["webapps"]
リソース：
- グループ:「アプリ」
リソース: ["デプロイメント"]
5.3 ConfigMapとSecretのやりとり（すべての名前空間）をメタデータに記録する
- レベル: メタデータ
リソース：
- グループ： ""
リソース: ["configmaps", "secrets"]
5.4 その他のリクエストはすべてメタデータに記録する
これは最後だ
- レベル: メタデータ
5.5 最終的なaudit-policy.yamlは次のように終了します。
# (上記の既存の「ログに記録しない」ルール)
- レベル: リクエストレスポンス
リソース：
- グループ： ""
リソース: ["名前空間"]
- レベル: リクエストレスポンス
名前空間: ["webapps"]
リソース：
- グループ:「アプリ」
リソース: ["デプロイメント"]
- レベル: メタデータ
リソース：
- グループ： ""
リソース: ["configmaps", "secrets"]
- レベル: メタデータ
保存して終了します:
:wq
6) APIサーバーがEXTENDEDポリシーを使用していることを確認する
マニフェストをタッチしてリロードを保証します:
/etc/kubernetes/manifests/kube-apiserver.yaml を編集します。
数秒お待ちください。
7) 監査が機能していることを確認する
7.1 監査ログファイルの存在を確認する
ls -l /var/log/kubernetes/audit-logs.txt
7.2 テストアクティビティを生成する
kubectl 名前空間を取得する
kubectl get configmaps -A
7.3 ログが書き込まれていることを確認する
テール -n 20 /var/log/kubernetes/audit-logs.txt
監査エントリが表示されます。

解決策（ステップバイステップ）:
1. 各ポッドの証明書と鍵を生成します。openssrなどのツールを使用して自己署名証明書を生成するか、証明機関（CA）を利用して証明書を発行することができます。各ポッドには、独自の秘密鍵とCAによって署名された証明書が必要です。
2. 証明書と鍵を保存するためのKubernetes Secretを作成します。このSecretは各ポッドにボリュームとしてマウントする必要があります。

3. 相互TLSに証明書を使用するようにポッドを設定します。通常、証明書とキーファイルの場所を指定するために、環境変数またはコマンドライン引数を設定します。

4. Istio や Linkerd などのサービスメッシュをデプロイします。これらのツールは、証明書管理と mTLS 適用のプロセスを自動化できます。自動証明書ローテーション、mTLS 構成を管理するための集中制御プレーン、トラフィック暗号化などの機能を提供します。重要な考慮事項：証明書管理：証明書の発行と更新のための安全で自動化されたプロセスを実装します。リソースのオーバーヘッド：mTLS はパフォーマンスのオーバーヘッドをもたらす可能性があるため、実装後はアプリケーションのパフォーマンスを監視します。トラブルシューティング：mTLS に関連する接続の問題のトラブルシューティング計画を立てます。