views4GCPのストレージサービスについてまとめてみた。Tokyoに参加してきました。Cloudに関する様々な発表、ハンズオンラボ、交流の場となっています。本記事は会場で数多く行われたセッションのレポート記事となります。Engineによるコンテナセキュリティの道」に関するレポートです。Kubernetesにはあまりまだ触れられていない新人エンジニアなのでいい機会だと思い、参加してきました!GKEを少しは触ったことがある、GCPのCI/CDサイクルについて軽く知っているような方が対象であったと思います。イアン・ルイス(Google)発表動画→こちらコンテナとGKE本セッションの導入では、コンテナの導入前と導入後のセキュリティに関して軽く触れていました。コンテナ導入前アプリケーションを手動でコピー、ビルド、デプロイを行う。何も考えずにファイアウォールを作成したりすることもざらにあり、悪意ある者がサーバー内部に侵入すれば、各アプリケーションに入る(攻撃する)ことが可能な状況であった。コンテナ(GKE)導入後オーケストレーション機能を有するGKEが勝手にサーバ同士をスケジューリングします。そのため誰かがアプリケーションサーバーに侵入したとしても、他のアプリケーションサーバに侵入することは難しくなりました。運用しやすいこのようなメリットに魅力を感じ、導入した方は多いかと思います。新しいセキュリティの課題Kubernetesへのアクセス権限の管理ファイアウォール、ネットワークポリシーなどが課題として挙げられていました。Googleも無条件でユーザのデータは見れないといったことを強調していました。これはGKEの大きな特徴だと思います。追加で、Googelとユーザの担当範囲をしっかり意識することが重要であるとも言及していました。アプリケーションのライフサイクルをセキュアにコンテナイメージが変更されていないか脆弱性がないのか運用中のアプリケーションは不正侵入されていないかユーザ権限が正しいか、不正アクセスがないか以上の観点を踏まえたGCPの可視性、セキュリティ、コントロールについて、CI/CD・ビルド、デプロイ、アプリケーション運用、ユーザ・アクセス管理に分けて紹介されました。RegistryDockerコンテナイメージを保存、管理、保護し、自動的にビルド、デプロイすることもできます。ただのDockerイメージを保管する箱ではなく、脆弱性のスキャンも可能であり、同時に脆弱性の内容と重大度を表示してくれます。Authorization信頼できるコンテナのみをGKEにデプロイしてくれます。例として以下のようなポリシーを設定できます。脆弱性があるものはデプロイしないシステム要求を満たすポリシーを設定しましょう。Sandbox(ベータ)コンテナのセキュリティをさらに強化してくれます。徹底した防御をポッドに追加する、また、潜在的な攻撃を限定することもできるようになり、第3者が書いた(悪意ある)コードの実行などから防御してくれます。Sandboxの元となったコンテナSandboxのオープンソース環境です。Sandboxに関連して紹介されました。Google内部でもよく使われるそうです。Anthosオンプレとクラウドの両方で一貫性のあるポリシーとセキュリティを大規模に自動化してくれます。オンプレで動かしているKubernetesクラスタをクラウドでも監視、運用する事ができます。モニタリングを一括管理する仕組みを提供してくれます。Istioサービス認証・ポリシーやモニタリング、トラフィックの制御をしてくれます。いわゆるサービスメッシュの仕組みを導入してくれます。Detection(ベータ)このプロダクトは私も初めて聞きました。(調べてみるとサンフランシスコのNext’19で発表になったプロダクトのようです)GCP内に存在するセキュリティの脅威を検出します。Loggingから検出してくれます。そのため、特にGKEをいじらずとも使用可能であることが特徴として挙げられます。Management(SIEM)を最適化してコストを削減しているようです。(IAM)きめ細かいアクセス制御によってクラウドリソースの一元管理を実現します。GCPプロダクトを扱っている方にはおなじみのユーザ・アクセス管理方法です。きめ細かいリソース制御といったものがあります。CenterGCP用の包括的なセキュリティ管理とデータリスクプラットフォームです。Available(GA)となったプロダクトです。(参考記事)クラウドデータやサービスの可視化と制御により脅威を防止、GCPのアセット(存在するオブジェクト)を標的とした脅威の検出と対処を行ってくれます。柔軟なプラットフォームでセキュリティのニーズに対応していることを謳っており、組織全体のプロジェクトのアラートなどを1箇所で見ることができたりします。まとめGKEを使用するに際して、セキュリティプロダクトをCI/CD・ビルド、デプロイ、アプリケーション運用、ユーザ・アクセス管理に分けて紹介していただきました。筆者も聞いたことのないものがちらほらあり、非常に参考になりました。ビルドやデプロイなど場面場面で気にすべきセキュリティというのが、しっかりまとまっていて聞きやすい発表でした。