Kubernetes v1.36、削除できないアドミッションポリシーを実現する新機能をアルファ提供
tech/ai news
ワンポイントなどのラベルを持つAPIベースのポリシーやWebhook設定を、クラスタ管理者であっても変更・削除できないよう保護するポリシーを書けます。共有クラスタを運用するプラットフォームチームにとって、ベースラインのセキュリティポリシーが誤操作や悪意ある操作で失われないことを保証できるのは大きな前進です。また、ファイルは実行時に監視されており、更新すればAPIサーバーを再起動せずに検証・原子的な差し替えが行われるため、Ansible、Puppet、あるいはマウントしたConfigMapといった既存の構成管理ツールでダウンタイムなくポリシーをロールアウトできます。
## 利用時の注意点
マニフェスト設定は起動時にetcdすら利用可能でない状態でも動作する必要があるため、意図的に自己完結型に制限されています。ポリシーのparamKindやWebhookのService参照は使えず、URLのみの指定になります。バインディングも同じマニフェット群内のポリシーしか参照できません。また複数のAPIサーバーインスタンスを運用している場合、各インスタンスが個別にファイルを読み込む仕様で、サーバー間の同期機構は用意されていません(暗号化設定など他のファイルベース設定と同じモデルです)。起動時の読み込みは厳格で、マニフェストが1つでも不正だとAPIサーバー自体が起動しません。これは意図的な設計で、想定外のポリシー欠如状態で稼働するよりフェイルファストを優先しています。試す場合は`ManifestBasedAdmissionControlConfig`フィーチャーゲートを有効化し、マニフェスト用ディレクトリを用意してAdmissionConfigurationに指定する手順になります。
## まとめ
今回追加された機能により、Kubernetesのアドミッション制御は「APIで管理する動的なポリシー」と「ディスク上で常時有効な不可変ポリシー」の二層構造を持てるようになりました。ブートストラップ時の防御の空白を埋めつつ、クラスタ管理者からも保護されたベースラインポリシーを実現できる点は、マルチテナント環境やコンプライアンス要件の厳しい現場にとって特に価値があります。現時点ではアルファ機能のため、フィードバックはKubernetes Slackの#sig-api-machineryチャンネルで受け付けられています。
この記事は Kubernetes Blog の一次情報をもとにAIが再構成したものです。 原文を読む →
Kubernetes v1.36で、アドミッションWebhookやCELベースのポリシーをAPIオブジェクトではなくディスク上のファイルとして定義できる「マニフェストベースのアドミッション制御」がアルファ機能として追加されました。APIサーバー起動時に読み込まれるため、クラスタのブートストラップ時の防御の空白や、特権ユーザーによるポリシー削除を防げます。SIG API Machineryが開発し、KEP-5793として進行中です。
全文を読むには有料プランへの登録が必要です。
プランを見る →