* ポッドセキュリティ基準（PSS）：
* Kubernetesは、ポリシーに基づいてセキュリティ制御を適用するためのPod Security Admission（PSA）を提供します。
* 公式抜粋：「Podセキュリティ標準は、Podのさまざまな隔離レベルを定義します。この標準は、Podが実行できることとアクセスできるものを制限することに重点を置いています。」
* 標準プロファイルは以下の3種類です。
* 特権：制限なし（非推奨）。
* 基本設定：最小限の制限。
* 制限あり：非常に制限されており、最小権限の原則が適用されています。
* 選択肢Cが正解である理由：
* YAMLでPodセキュリティ標準を適用することで、Podが以下のようなベストプラクティスに準拠することが保証されます。
* ルートユーザーが存在しません。
* ホストへのアクセスが制限されています。
権限昇格は行われません。
* Seccomp/AppArmor プロファイル。
* これにより、セキュリティリスクが直接的に最小限に抑えられます。
* 他の人が間違っている理由：
* A：機密データを共有すると、情報漏洩のリスクが高まります。
* B: 特権を高くして実行することは、最小特権の原則に反します。
* D:ランダムなPod名はセキュリティに貢献しません。
参考文献：
Kubernetes ドキュメント - Pod セキュリティ標準: https://kubernetes.io/docs/concepts/security/pod-security-standards/ Kubernetes ドキュメント - Pod セキュリティ承認: https://kubernetes.io/docs/concepts/security/pod-security-admission/

* Kubernetes は、制御プレーン コンポーネント (API サーバー、etcd、kube-scheduler、kube-controller-manager) と kubelet 間の通信を保護するために PKI 証明書を広く使用しています。
* 証明書により、コンポーネント間で相互のTLS認証と暗号化が可能になります。
* PKIは、スケーリング、ネットワーク、監視には対応していません。
参考文献：
Kubernetesドキュメント - 証明書
CNCFセキュリティホワイトペーパー - クラスタ通信のセキュリティとPKIの役割。

* ソフトマルチテナンシー（名前空間、RBAC、ネットワークポリシー）# テナント間の一定レベルの信頼を前提とし、リソース共有と効率性に重点を置きます。
* ハードマルチテナンシー（別々のクラスターまたは強力な仮想化）# テナントが信頼できない場合に使用される厳密な分離。
* 抜粋（CNCF TAGセキュリティマルチテナントホワイトペーパー）：
* 「ソフトマルチテナンシーとは、一定の信頼関係を前提として、同じクラスタ内で複数のワークロードを実行することを指します。これにより、リソース共有と運用効率が向上します。ハードマルチテナンシーでは、より強力な分離保証が必要となり、通常は別々のクラスタが使用されます。」 参考文献:
CNCF Security TAG - マルチテナンシー ホワイトペーパー: https://github.com/cncf/tag-security/tree/main/multi-tenancy

* kube-controller-manager は、クラスターの状態を制御する一連のコントローラーを実行します。
* 正確な抜粋（Kubernetesドキュメント）：「kube-controller-managerは、Kubernetesの中核となるコントローラーを実行します。コントローラーの例としては、ノードコントローラー、レプリケーションコントローラー、エンドポイントコントローラー、ネームスペースコントローラー、およびサービスアカウントコントローラーなどがあります。」
* Dが正解である理由：リストされているものはすべて、kube-controller-manager内の実際のコントローラーです。
* 他の人が間違っている理由：
* A:Job および CronJob コントローラーは kube-controller-manager によって管理されますが、DaemonSet コントローラーは kube-scheduler/deployment ロジックによって管理されます。
* B:Pod、Service、Ingress コントローラーは kube-controller-manager の一部ではありません。
* C:ConfigMap と Secret には専用のコントローラーがありません。
参考文献：
Kubernetes ドキュメント - kube-controller-manager: https://kubernetes.io/docs/reference/command-line-tools-reference/kube-controller-manager/

* Kubernetes は RuntimeClass を介してワークロード固有のランタイムをサポートします。
* 変更アドミッションコントローラは、以下の方法でこれを自動的に強制できます。
* ワークロード作成要求を傍受する。
* ラベルまたはポリシーに基づいてruntimeClassNameを設定するようにPod仕様を変更します。
* 間違った選択肢:
* (A) 手動による変更は拡張性やセキュリティに欠けます。
* (B) kube-apiserver はアプリケーションごとのランタイム ポリシーを適用できません。
* (C) 検証用ウェブフックは、ランタイムを拒否することのみでき、変更することはできません。
参考文献：
Kubernetesドキュメント - RuntimeClass
CNCFセキュリティホワイトペーパー - ランタイムポリシーを適用するためのアドミッションコントローラー。