* 異なるセキュリティ ドメイン間でデータが流れる場所に信頼境界が存在します。
* Kubernetesの場合:
* kubelet (ノード エージェント) と API サーバー (コントロール プレーン) 間の通信は、ノードとコントロール プレーン間の信頼境界を越えます。
* (A) Kubelet からコンテナへのランタイムはローカルであり、境界を越えません。
* (C) Kubelet はコントローラー マネージャーと直接通信しません。
* (D) API サーバーはコンテナ ランタイムと直接通信せず、kubelet に委任します。
* したがって、(B) が正しい信頼境界越えフローです。
参考文献:
CNCF セキュリティ ホワイトペーパー - Kubernetes 脅威モデル: ノードからコントロール プレーンへの通信 (kubelet # API サーバー) が信頼境界を越えるものとして識別されます。
Kubernetes ドキュメント - クラスターアーキテクチャ

* KubernetesPod Security Admission (PSA) は、名前空間にラベルを適用することで Pod セキュリティ標準を適用します。
* 正確な抜粋 (Kubernetes ドキュメント - Pod Security Admission):
* 「Baseline ポリシーを適用するには、名前空間に pod-security.kubernetes.io/enforce: baseline というラベルを付けることができます。」
* ベースライン プロファイルは、特権ポッドやその他の安全でない機能を明示的に禁止します。
* 他の人が間違っている理由:
* A および D: これらのラベルは Kubernetes には存在しません。
* B: privileged: true を設定すると、特権ポッドはブロックされずに許可されます。
参考文献:
Kubernetes ドキュメント - ポッド セキュリティ アドミッション: https://kubernetes.io/docs/concepts/security/pod-security- admission/ Kubernetes ドキュメント - ポッド セキュリティ スタンダード: https://kubernetes.io/docs/concepts/security/pod-security- standards/

* デフォルトでは、Pod は API サーバーに接続できます (ServiceAccount トークンがマウントされているため)。
* しかし、演技が成功するかどうかは、以下の要素によって決まります。
* ネットワーク ポリシー (出力をブロックする場合があります)。
* RBAC(権限を制御します)。
* 正確な抜粋 (Kubernetes ドキュメント - API アクセス):
* 「ポッドは、ポッドにマウントされたサービス アカウント トークンを使用して API サーバーに対して認証を行います。
その後、RBAC によって承認が強制されます。ネットワークポリシーによってアクセスがさらに制限される場合があります。
* 説明:
* A: デフォルトの自動分離はありません。
* B: 常に制限がないわけではなく、ポリシーが適用される場合があります。
* D: ポッドは自動的に昇格されるのではなく、最小限のデフォルト権限を取得します。
参考文献:
Kubernetes ドキュメント - ポッドへの API アクセス: https://kubernetes.io/docs/concepts/security/service-accounts/ Kubernetes ドキュメント - ネットワーク ポリシー: https://kubernetes.io/docs/concepts/services-networking/network-policies/

* コンテナ イメージの署名 (例: withcosign、Notary v2) では非対称暗号化が使用されます。
* 検証プロセス:
* 画像のデジタル署名を取得します。
* 署名者の公開鍵を使用して署名を検証します。
* 正確な抜粋 (Sigstore Cosign Docs):
* 「画像の検証には署名と署名者の公開鍵が必要です。署名は真正性と完全性を証明します。」
* 他の人が間違っている理由:
* A および B: 秘密鍵は署名者のみが使用し、共有されることはありません。
* C: デジタル署名がなければ、ハッシュだけでは真正性を証明できません。
参考文献:
Sigstore Cosign ドキュメント: https://docs.sigstore.dev/cosign/overview

* マルチステージ ビルドは、複数のステージでイメージをビルドできる Docker/Kaniko の機能です。# 最終イメージには、ビルド ツールではなく、ランタイム成果物のみが含まれません。
* これにより、画像サイズ、攻撃対象領域、セキュリティ リスクが軽減されます。
* 正確な抜粋 (Docker Docs):
* マルチステージビルドでは、Dockerfile内で複数のFROMステートメントを使用できます。アーティファクトをあるステージから別のステージにコピーすることで、より小さく最適化されたイメージを作成できます。
* 説明:
* A: コラボレーションが定義ではありません。
* B: 複数のリポジトリ # マルチステージビルド。
* C: ビルドの同時実行 # マルチステージビルド。
参考文献:
Docker ドキュメント - マルチステージビルド: https://docs.docker.com/develop/develop-images/multistage-build/