* 監査ログは、セキュリティ監視のためにAPIサーバーのリクエストとレスポンスを記録します。
* RequestResponse レベルでは、リクエストとレスポンスのボディ全体がログに記録され、以下のことが可能です。
* ストレージとパフォーマンスのオーバーヘッドが大幅に増加します。
* 機密データ（Secretsを含む）をログに記録する可能性がある。
したがって、包括的ではあるものの、パフォーマンスの低下やログデータの過剰な蓄積といったリスクを伴います。
参考文献：
Kubernetesドキュメント - 監査
CNCFセキュリティホワイトペーパー - ログ記録と監視：冗長性、ストレージ、セキュリティのトレードオフ。

* Podが作成されると、KubernetesはAPIサーバーへの認証に使用できるサービスアカウントトークンを自動的にマウントします。
* ロールベースアクセス制御（RBAC）システムは、サービスアカウントが実行できるアクションを定義します。
* 管理者は、役割と役割バインディングを慎重に制限することで、侵害されたPodの影響範囲を制限します。
* 間違った選択肢:
* (A)PodSecurity admissionはワークロードレベルのセキュリティ設定を強制しますが、APIアクセスは制御しません。
* (B)NetworkPolicyはネットワーク通信を制御し、API権限は制御しません。
* (D)RuntimeClassは、APIトークンによる権限昇格とは関係なく、コンテナランタイムを選択します。
参考文献：
Kubernetesドキュメント - RBAC認証の使用
CNCFセキュリティホワイトペーパー - アイデンティティおよびアクセス管理：サービスアカウントの権限を制限することで、横方向の移動を制限する。

* サービスメッシュ（例：Istio、Linkerd、Consul）：レイヤー7（アプリケーション層）で動作し、mTLS、認証、サービス間のルーティングなどのポリシーを適用します。
* NetworkPolicy:レイヤー3/4（IP/ポート）で動作し、レイヤー7では動作しません。
* イングレスコントローラ：外部からのトラフィックの流入を処理し、内部のサービス間トラフィックは処理しません。
* コンテナランタイム：コンテナの実行を担当し、アプリケーション層のセキュリティを強制する役割は担いません。
正確な抜粋（Istioドキュメント）：
* 「Istio は、サービス間通信の認証、認可、暗号化を強制することでセキュリティを提供します。」 参考資料:
Kubernetes ドキュメント - ネットワーク ポリシー: https://kubernetes.io/docs/concepts/services-networking/network-policies/ Istio セキュリティ ドキュメント: https://istio.io/latest/docs/concepts/security/

* k8s.gcr.ioは、かつてのKubernetesイメージレジストリでした。
* これは非推奨となり、registry.k8s.io に置き換えられました。
* 完全抜粋（Kubernetesブログ）：
* 「k8s.gcr.io イメージレジストリは、2023年4月3日をもって凍結され、完全に非推奨となります。すべてのKubernetesプロジェクトイメージは、registry.k8s.io から提供されるようになりました。」
* k8s.gcr.io から新しいバージョンを取得しようとすると、レジストリがアップデートを受信しなくなったため失敗します。
参考文献：
Kubernetesブログ - イメージレジストリの更新: https://kubernetes.io/blog/2023/02/06/k8s-gcr-io-freeze-announcement/

* privileged: true を設定すると、コンテナにホスト ノードへの昇格されたアクセス権が付与され、ホスト デバイス、カーネル機能、およびホストを変更する機能へのアクセスが可能になります。
ただし、Kubernetes の Secrets は、特権コンテナに自動的に公開されるわけではありません。Secrets は、明示的に参照された場合にのみ Pod にマウントされます。
* したがって、特権を持つことは、特権を持たない Pod と比較して Kubernetes Secrets への追加のアクセス権を与えるものではありません。
* リスクはノードの侵害にあります。特権コンテナがノードを乗っ取ることができれば、間接的にシークレットにアクセスできる可能性があります（たとえば、kubeletの認証情報を読み取ることによって）。
参考文献：
Kubernetesドキュメント - セキュリティコンテキスト
CNCFセキュリティホワイトペーパー - Podのセキュリティコンテキストと特権コンテナのリスク。