ソリューションとテクノロジーで成功への道筋をつけることができます。Cloudお客様のビジネス全体に役立つ、わかりやすい料金体系です。安全でインテリジェントなプラットフォームを使って今すぐ始めましょう。プロダクトをお試しいただけます。Sandboxベータ版このプロダクトまたは機能はプレリリース版の状態で、変更やサポート制限が行われる可能性があります。ステージをご覧ください。使用してノードのホストカーネルを保護する方法について説明します。クラスタでは、ユーザーから送信された不明なコードが実行されることが少なくありません。概要について説明します。公式ドキュメントをご覧ください。セキュリティに新たなレイヤを追加し、信頼できないコードからクラスタノードのホストカーネルを保護します。仕組みについて説明する前に、潜在的なリスクの特徴について理解しておきましょう。これは、リスクを回避する際に役立ちます。ランタイムは、コンテナのプロセスとノードのカーネルをある程度分離しています。ランタイムはノードの特権ユーザーとして実行されることが多く、その場合、ホストカーネルに対するほとんどのシステムコールにアクセスできます。クラスタや、コンテナで信頼できないワークロードが実行されるクラスタは、他のクラスタよりも脆弱性が悪用されるリスクが高くなります。プロバイダ、ユーザーにコードのアップロードと実行を許可している組織では、攻撃を受ける可能性が高くなります。ランタイムやホストカーネルの欠陥が悪用されると、コンテナ内で実行されるプロセスがコンテナをエスケープして、ノードのカーネルに影響を及ぼし、ノードが停止する可能性があります。悪意のあるテナントが、このような欠陥を利用して他のテナントのメモリやディスクに侵入し、データを盗み出す可能性もあります。メタデータにアクセスする可能性もあります。ユーザー空間を再実装したものです。ランタイムとともに、このユーザー空間カーネルはシステムコールの大半を再実装し、ホストカーネルに代わってサービスを提供します。これにより、ホストカーネルへの直接アクセスが制限されています。ガイドをご覧ください。透過的で、コンテナ化されたアプリケーションに変更を加える必要はありません。有効にすると、そのノードプール内のノードで実行中のポッドごとにサンドボックスが作成されます。メタデータにアクセスすることはできません。実行されないポッドは通常のポッドと呼ばれます。各サンドボックスは、独自のユーザー空間カーネルを使用します。このため、必要な分離レベルとアプリケーションの特性に基づいて、コンテナをポッドにグループ化できます。次のタイプのアプリケーションに特に適しています。サンドボックス化するアプリケーションについては、制限事項をご覧ください。使用する場合は、次の推奨事項も考慮してください。サンドボックス内で実行されるすべてのコンテナに対してリソース制限を指定することを強くおすすめします。プロセスへの悪影響を防ぐことができます。多くのアプリケーションで動作していますが、すべてのアプリケーションに対応しているわけではありません。現在の制限事項について詳しく説明します。信頼できないワークロードやサードパーティのワークロードからクラスタを保護します。通常、信頼できる自社のワークロードをサンドボックスで実行する利点はありません。有効にすることはできません。以上のノードプールが必要です。以上のノードが必要です。メタデータにアクセスできません。有効になっているノードでは、通常のポッドを実行できます。メタデータにアクセスできません。サービスへのアクセス権をポッドに付与します。Sampling(MDS)の脆弱性が軽減されています。使用して、クラスタに新しいノードプールを作成します。ラベルのあるノードでのみ実行されます。スレッディングが有効になり、ノードが再起動されます。ポッドが実行状態であることを確認します。kube-system次のようなレスポンスが返されます。あることを確認します。kube-system機能デフォルトでは、コンテナは未処理のソケットを開けないため、悪質な攻撃を防ぐことができます。特定のネットワーク関連ツールは、そのコアの機能の一部として未処理のソケットを作成します。コンテキストに明示的に追加する必要があります。機能と一緒には使用できません。メモリの制限が指定されている場合だけです。モジュールワークロードの特性ノードのカーネルにアクセスするために中間層を追加すると、パフォーマンスとのトレードオフが発生します。クラスタで最大の効果を発揮します。ワークロードのテストを行う場合は、次のガイドラインに従ってください。リソースの消費が増える可能性があります。その場合、より強力なノードを使用するか、クラスタにノードを追加する必要があります。適切ではないことがあります。このサンドボックスでは、ノードのホストカーネルに直接アクセスできないためです。構成するセキュリティの概要を確認するポッドのライフサイクルを理解する。