解決策（ステップバイステップ）：
1. メインアプリケーションコンテナの Securitycontext を作成します。

2. 更新したデプロイメントを適用します: bash kubectl apply -f my-app-deployment.yaml - メイン アプリケーション コンテナのセキュリティ コンテキストの「readOnlyRootFilesystem: true」設定により、サイドカー コンテナはメイン コンテナのファイル システムに書き込むことができません。 - これにより、サイドカー コンテナはメイン アプリケーションの機密データを変更したり、アクセスしたりできなくなります。 重要な注意事項: - このポリシーは、サイドカー コンテナがファイル システムを介してメイン コンテナのデータにアクセスすることを制限します。 - サイドカーが特定のデータにアクセスする必要がある場合は、サイドカー コンテナに対して読み取り専用、メイン コンテナに対して読み取り/書き込み可能な共有ボリュームをマウントできます。 - メイン コンテナとサイドカー コンテナの両方のセキュリティ コンテキストを確認し、必要なアクセス制限がすべて実装されていることを確認することが重要です。

API サーバー:
--authorization-mode 引数に RBAC が含まれていることを確認する
ロールベースアクセス制御（RBAC）をオンにします。ロールベースアクセス制御（RBAC）を使用すると、クラスタ内の異なるオブジェクトに対して異なるエンティティが実行できる操作をきめ細かく制御できます。RBAC認証モードの使用をお勧めします。
修正 - ビルド時間
Kubernetes
apiバージョン: v1
種類: ポッド
メタデータ:
作成タイムスタンプ: null
ラベル:
コンポーネント: kube-apiserver
層: コントロールプレーン
名前: kube-apiserver
名前空間: kube-system
仕様:
コンテナ:
- 指示：
+ - be-apiserver
+ - --authorization-mode=RBAC、ノード
イメージ: gcr.io/google_containers/kube-apiserver-amd64:v1.6.0
ライブネスプローブ:
失敗しきい値: 8
httpGet:
ホスト: 127.0.0.1
パス: /healthz
ポート: 6443
スキーム: HTTPS
初期遅延秒数: 15
タイムアウト秒数: 15
名前: kube-apiserver-should-pass
リソース：
リクエスト:
CPU: 250MB
ボリュームマウント:
- マウントパス: /etc/kubernetes/
名前: k8s
読み取り専用: true
- マウントパス: /etc/ssl/certs
名前: 証明書
- マウントパス: /etc/pki
名前: pki
ホストネットワーク: true
ボリューム:
- ホストパス:
パス: /etc/kubernetes
名前: k8s
- ホストパス:
パス: /etc/ssl/certs
名前: 証明書
- ホストパス:
パス: /etc/pki
名前: pki
--authorization-mode 引数に Node が含まれていることを確認する
修復: マスター ノード上の API サーバー ポッド仕様ファイル /etc/kubernetes/manifests/kube-apiserver.yaml を編集し、--authorization-mode パラメータを Node を含む値に設定します。
--authorization-mode=ノード、RBAC
監査：
/bin/ps -ef | grep kube-apiserver | grep -v grep
期待される結果:
「ノード、RBAC」には「ノード」があります
--profiling引数がfalseに設定されていることを確認します
修復: マスター ノード上の API サーバー ポッド仕様ファイル /etc/kubernetes/manifests/kube-apiserver.yaml を編集し、以下のパラメータを設定します。
--プロファイリング=偽
監査：
/bin/ps -ef | grep kube-apiserver | grep -v grep
期待される結果:
「偽」は「偽」と等しい
Kubelet に対して見つかった次の違反をすべて修正します:- --anonymous-auth 引数が false に設定されていることを確認します。
修正方法：Kubelet 設定ファイルを使用している場合は、ファイルを編集して、authentication: anonymous: enabled を false に設定してください。実行可能引数を使用している場合は、各ワーカーノードの kubelet サービスファイル /etc/systemd/system/kubelet.service.d/10-kubeadm.conf を編集し、KUBELET_SYSTEM_PODS_ARGS 変数に以下のパラメータを設定してください。
--匿名認証=偽
システムに応じて、kubelet サービスを再起動します。例:
systemctlデーモンリロード
systemctl kubelet.service を再起動します。
監査：
/bin/ps -fC クベレット
監査設定:
/bin/cat /var/lib/kubelet/config.yaml
期待される結果:
「偽」は「偽」と等しい
2) --authorization-mode 引数が Webhook に設定されていることを確認します。
監査
docker inspect kubelet | jq -e '.[0].Args[] | match("--authorization-mode=Webhook").string' 戻り値: --authorization-mode=Webhook ETCD に対して見つかった以下の違反をすべて修正します:- a. --auto-tls 引数が true に設定されていないことを確認します TLS に自己署名証明書を使用しないでください。etcd は、Kubernetes デプロイメントによってすべての REST API オブジェクトの永続ストレージとして使用される、可用性の高いキー値ストアです。これらのオブジェクトは本質的に機密性が高いため、認証されていないクライアントがアクセスできないようにする必要があります。etcdサービスへのアクセスを保護するには、有効な証明書を介してクライアント認証を有効にする必要があります。
修正 - ビルド時間
Kubernetes
apiバージョン: v1
種類: ポッド
メタデータ:
注釈:
スケジューラ.alpha.kubernetes.io/クリティカルポッド: ""
作成タイムスタンプ: null
ラベル:
コンポーネント: etcd
層: コントロールプレーン
名前: etcd
名前空間: kube-system
仕様:
コンテナ:
- 指示：
+ - など
+ - --auto-tls=true
イメージ: k8s.gcr.io/etcd-amd64:3.2.18
画像プルポリシー: IfNotPresent
ライブネスプローブ:
実行:
指示：
- /bin/sh
- -ec
- ETCDCTL_API=3 etcdctl --endpoints=https://[192.168.22.9]:2379 --cacert=/etc/kubernetes/pki/etcd/ca.crt
--cert=/etc/kubernetes/pki/etcd/healthcheck-client.crt --key=/etc/kubernetes/pki/etcd/healthcheck-client.key get foo failureThreshold: 8 initialDelaySeconds: 15 timeoutSeconds: 15 name: etcd-should-fail resources: {} volumeMounts:
- マウントパス: /var/lib/etcd
名前: etcd-data
- マウントパス: /etc/kubernetes/pki/etcd
名前: etcd-certs
ホストネットワーク: true
優先度クラス名: システムクラスタクリティカル
ボリューム:
- ホストパス:
パス: /var/lib/etcd
タイプ: DirectoryOrCreate
名前: etcd-data
- ホストパス:
パス: /etc/kubernetes/pki/etcd
タイプ: DirectoryOrCreate
名前: etcd-certs
状態： {}

完全な解決策については、以下の説明を参照してください。
Explanation:
以下は、CKS試験形式のQ3向け「do-this-exactly」ランブックです。最小限の検出コマンド（ファイル名を推測する必要がないように）と、設定すべき正確な行/ブロックが含まれています。
質問3 - ImagePolicyWebhook（入場の検証） - 試験手順
0) SSH + ルート
ssh cks000002
sudo -i
1) 提供された設定ファイルを特定する（推測は不要）
ls -la /etc/kubernetes/bouncer
通常次のような名前のファイルを探しています:
admission_configuration.yaml (入学設定)
imagepolicywebhook.yaml (ImagePolicyWebhookConfiguration) または AdmissionConfiguration kubeconfig (webhook kubeconfig) 内に埋め込まれた ImagePolicyWebhook 構成。どちらがどちらかわからない場合は、以下を参照してください。
grep -R "ImagePolicyWebhook" -n /etc/kubernetes/bouncer
grep -R "AdmissionConfiguration" -n /etc/kubernetes/bouncer
grep -R "kubeconfig" -n /etc/kubernetes/bouncer
パートA - 必要なアドミッションプラグインを有効にするためにAPIサーバーを再構成する
2) APIサーバーの静的ポッドマニフェストを編集する
/etc/kubernetes/manifests/kube-apiserver.yaml 内
2.1 入場プラグインImagePolicyWebhookを有効にする
次の行で始まる行を見つけます。
- --enable-admission-plugins
そのコンマ リストに ImagePolicyWebhook が含まれていることを確認します。
例 (リストは異なる場合があります。ImagePolicyWebhook を追加するだけです):
- --enable-admission-plugins=NodeRestriction、ImagePolicyWebhook
フラグが存在しない場合は、コマンドの下に 1 行追加します。
- --enable-admission-plugins=ImagePolicyWebhook
2.2 APIサーバーを指定のAdmissionConfigurationにポイントする
同じファイルで、このフラグが存在することを確認します (AdmissionConfiguration を含む /etc/kubernetes/bouncer 内のファイルを使用します)。
- --admission-control-config-file=/etc/kubernetes/bouncer/admission_configuration.yaml ファイル名が異なる場合は、手順 1 で確認した実際のファイル名を使用しますが、フラグ名は --admission-control-config-file のままにしてください。
保存/終了:
:wq
静的ポッドは自動的に再起動します (kubelet がマニフェストを監視します)。
オプションのクイックウォッチ:
ドッカー ps | grep kube-apiserver
＃ または：
crictl ps | grep kube-apiserver
パート B - バックエンドの障害時に画像を拒否するように ImagePolicyWebhook を構成する
3) ImagePolicyWebhookの設定を編集する
クラスターでは次のいずれかが当てはまります。
オプション 1 (これらのタスクで最も一般的): ImagePolicyWebhook 構成はスタンドアロン ファイルです。/etc/kubernetes/bouncer 内の kind: ImagePolicyWebhookConfiguration: を含むファイルを編集します。
grep -R "kind: ImagePolicyWebhookConfiguration" -n /etc/kubernetes/bouncer vi /etc/kubernetes/bouncer/<THE_FILE_YOU_FOUND>.yaml を正確に設定（または確認）します。
デフォルト許可: false
オプション 2: ImagePolicyWebhook 構成は AdmissionConfiguration 内に埋め込まれます。AdmissionConfiguration ファイルを編集します。
/etc/kubernetes/bouncer/admission_configuration.yaml 内
ImagePolicyWebhook のプラグイン セクションを見つけて、構成に以下が含まれていることを確認します。
デフォルト許可: false
✅ 保存/終了:
:wq
パート C - バックエンド構成を https://smooth-yak.local/review にポイントする
4) スキャナエンドポイントを使用するようにWebhook kubeconfigを編集する
ImagePolicyWebhook 構成によって参照される kubeconfig ファイルを見つけます。
kubeConfigFileを検索します:
grep -R "kubeConfigFile" -n /etc/kubernetes/bouncer
kubeconfig パスを開きます (以下は例の名前ですが、実際のパスとは異なる場合があります)。
vi /etc/kubernetes/bouncer/kubeconfig
kubeconfig で、クラスター サーバーを正確に設定します。
クラスター:
- クラスター:
サーバー: https://smooth-yak.local/review
✅ 保存/終了:
:wq
パート D - 再起動の効果 (API サーバーが構成を取得することを確認する)
/etc/kubernetes/manifests/kube-apiserver.yaml をすでに編集しているため、API サーバーが再起動しました。
安全 (かつ高速) にするには、マニフェストを「タッチ」して強制的に再起動します (コンテンツの変更は不要)。
/etc/kubernetes/manifests/kube-apiserver.yaml を編集します。
パートE - テスト: 脆弱なワークロードを適用し、拒否されることを確認する
5) admin kubeconfig を使用する (古い kubectl 構成が壊れる可能性があるため)
KUBECONFIG=/etc/kubernetes/admin.conf をエクスポートします。
kubectl ノードを取得する
6) テストリソースを展開する（拒否されるはずです）
kubectl apply -f /home/candidate/vulnerable.yaml
予想: 入場エラー/拒否メッセージ。
すでに存在する場合:
kubectl delete -f /home/candidate/vulnerable.yaml
kubectl apply -f /home/candidate/vulnerable.yaml
パートF - スキャナーが呼び出されたことを確認する（ログチェック）
7) スキャナーのアクセスログを確認する
テール -n 50 /var/log/nginx/access_log
/review にヒットするリクエストが表示されるはずです。
否定されない場合に確認すべきこと
これらを順番に実行します:
API サーバーフラグを確認します。
grep -n "enable-admission-plugins" /etc/kubernetes/manifests/kube-apiserver.yaml grep -n "admission-control-config-file" /etc/kubernetes/manifests/kube-apiserver.yaml 失敗時に拒否することを確認します。
grep -R "defaultAllow" -n /etc/kubernetes/bouncer
表示する必要があるもの:
デフォルト許可: false
エンドポイントを確認:
grep -R "server: https://smooth-yak.local/review" -n /etc/kubernetes/bouncer API サーバー ログ (docker ランタイム):
ドッカー ps | grep kube-apiserver
docker ログ $(docker ps -q --filter name=kube-apiserver) --tail 80
次の出力を貼り付けると:
ls -/etc/kubernetes/bouncer
grep -R "kind: AdmissionConfiguration" -n /etc/kubernetes/bouncer
grep -R "ImagePolicyWebhook" -n /etc/kubernetes/bouncer

解決策（ステップバイステップ）：
1. ネットワークポリシーを作成する:
- データベース ポッドの名前空間に NetworkPolicy を作成します。

2. ネットワーク ポリシーを適用します。 - 'kubectl apply -f database-access-control.yaml' を使用して NetworkP01iCY を適用します。 3. ポリシーをテストします。 - 別の名前空間または別のラベルでポッドを実行し、データベース ポッドへの接続を試行します。 - NetworkPolicy は、不正なアクセスを防ぐ必要があります。

解決策（ステップバイステップ）：
1. 最小限のベースイメージを選択します。
- サイズが小さく、セキュリティ機能が優れていることで知られる Alpine Linux などのベース イメージを選択します。
- マルチステージビルドを使用して、最終イメージのサイズを最小限に抑えます。
- 例：
ドケットファイル
alpine:3.16 からビルダーとして
# 必要な依存関係をインストールする
apk update && apk add --no-cache python3 python3-dev build-base を実行します。

2. セキュリティのベスト プラクティス: - コンテナー内では非 root ユーザーを使用します。 - 潜在的な脆弱性を最小限に抑えるため、Dockerfile で '-no-cache' などのセキュリティ オプションを有効にします。 - ベース イメージを強化します。 - 不要なパッケージとサービスを削除します。 - 不要なポートとプロトコルを無効にします。 - ファイルとディレクトリに適切な権限を設定します。 - 例: dockeflle FROM alpine:3.16 as builder USER nonrootuser RUN apk update && apk add 0--no-cache python3 python3-dev build-base # ... Dockerfile の残り 3. デプロイメント プロセス: - カスタム ベース イメージをビルドします。 - ベース イメージをプライベート レジストリにプッシュします。 - 新しいベース イメージを使用するようにデプロイメント YAML ファイルを更新します。 - 例:

4. テストと監視: - ベースイメージを定期的にスキャンして脆弱性を探します。 - コンテナを監視して疑わしいアクティビティを探します。 - FalcoやClairなどのセキュリティツールを使用します。