👩‍💻 Kubernetesセキュリティの核心: Pod Security Standardsを完全にマスターする

10月 23, 2026

—

こんにちは！Kubernetesを使用する上で、「セキュリティ」というキーワードは欠かせませんよね。多数のコンテナがオーケストレーションされる環境でセキュリティを確保することは非常に重要です。本日は、Kubernetesクラスターのセキュリティをさらに向上させるPod Security Standards(PSS)について、分かりやすく詳しく解説します。🚀

🤔 Pod Security Standardsはなぜ必要なのでしょうか？

Kubernetesにおいて、Podはアプリケーションの最小のデプロイ単位です。しかし、もしこのPodに過度な権限が付与されたり、セキュリティ設定が不十分だったりしたらどうなるでしょうか？😱ハッカーが脆弱性を利用してPodの制御権を奪取し、それを通じてクラスター全体を掌握するという恐ろしい状況が発生する可能性もあります。

Pod Security Standardsは、このような脅威を防ぐために登場しました。Podが作成される際に特定のセキュリティ要件を満たすことを強制するポリシー標準と言えます。以前はPodSecurityPolicy(PSP)という機能が使用されていましたが、Kubernetes v1.25からはPSSがこれを置き換え、より柔軟で標準化された方法を提供しています。

Pod Security Standards (PSS)は、Kubernetes v1.23からデフォルトで組み込まれ、有効化されている機能です。以前使用されていたPodSecurityPolicy(PSP)とは異なり、アドミッションコントローラーを別途有効にしたり、追加のプラグインをインストールしたりする必要はありません。

核心は、Podに対するセキュリティコンテキスト(Security Context)を定義し、それによってPodができることとできないことを明確に区別することです。

🌟 3つのセキュリティレベル: Privileged, Baseline, Restricted

Pod Security Standardsは、3つの異なるレベルのセキュリティポリシーを提供します。各ポリシーは、許可する権限の範囲とセキュリティレベルが異なります。一つずつ見ていきましょう。

1. Privileged (特権) 👑

説明: 名前が示す通り、最も自由なポリシーです。既知のすべての権限昇格(privilege escalation)を許可し、事実上何の制限もない状態と見なせます。
特徴:
制限がほとんどなく、非常に柔軟です。
セキュリティ的には最も脆弱です。😨
使用事例: 通常、システム全体にアクセスする必要があるインフラ管理用Podや、信頼できる特殊なワークロードに限定して使用すべきです。例えば、モニタリングエージェントやストレージプラグインなどが該当します。一般的なアプリケーションには絶対にお勧めしません！

2. Baseline (基本) 👍

説明: 中間レベルのセキュリティを提供する合理的なポリシーです。既知の権限昇格方法のほとんどをブロックしつつ、一般的なアプリケーションが大きな修正なしに動作できるようバランスを取ったレベルです。
特徴:
hostNetwork、hostPID、hostIPCなど、ホストネームスペースへのアクセスを遮断します。
privilegedコンテナの実行を禁止します。
特定のLinuxカーネル機能(Capabilities)を制限します。
使用事例: ほとんどの一般的なアプリケーションデプロイメントに推奨されるデフォルト値です。特別な権限を必要としないWebサーバー、APIサーバーなどがこれに該当します。

3. Restricted (制限) 🔒

説明: 最も厳格で安全なポリシーです。現在のPodセキュリティのベストプラクティスに従い、Podが使用できる権限を最小限に制限します。
特徴:
Baselineのすべての制限事項を含みます。
root権限での実行を防止します (runAsNonRoot: trueを強制)。
コンテナが使用できるLinuxカーネル機能(Capabilities)をNET_BIND_SERVICEを除いてすべて削除するよう強制します。(seccompProfile設定が必要)
ボリュームタイプも制限されます。(configMap, secret, pvcなど安全なボリュームのみ許可)
使用事例: セキュリティが非常に重要なワークロードや、外部攻撃にさらされる可能性のあるアプリケーションに適しています。最初は適用がやや難しいかもしれませんが、最も強力なセキュリティを提供します。

⚙️ どのように適用できますか？

Pod Security Standardsは、ネームスペース(Namespace)単位で適用されます。ネームスペースのラベル(Label)を使用して、希望するセキュリティレベルを設定できます。

例えば、my-secure-nsというネームスペースにRestrictedポリシーを適用したい場合は、以下のラベルを追加します。

apiVersion: v1
kind: Namespace
metadata:
  name: my-secure-ns
  labels:
    pod-security.kubernetes.io/enforce: restricted

enforceモードの他に、audit(違反時に警告のみ記録)やwarn(ユーザーに警告表示)モードを使用して、段階的にポリシーを適用することも可能です。

✨ まとめ

Pod Security Standardsは、複雑なKubernetes環境でセキュリティを維持するための不可欠なツールです。各ポリシーの特徴をよく理解し、ワークロードの性質に合った適切なセキュリティレベルを適用することが重要です。

Privileged: 必要不可欠な場合にのみ慎重に使用してください。
Baseline: ほとんどのアプリケーションにデフォルトで適用してください。
Restricted: セキュリティが最優先事項であれば、強くお勧めします！

今すぐあなたのクラスターにPod Security Standardsを適用して、より安全なKubernetes環境を構築しましょう！💪