Knative serving におけるセキュリティに関するベスト プラクティス

このドキュメントでは、Knative serving とその主要コンポーネントをセキュリティのベスト プラクティスに従って構成する方法について説明します。

Knative serving の保護

Knative serving はオープンソースの Knative プロジェクトに基づいており、そのセキュリティ ポスチャーを継承しています。

Knative serving で実行されるワークロードは、同じネットワークとコンピューティング ノードを共有します。相互信頼のないワークロード用に、別のクラスタを作成してください。Knative serving クラスタで、無関係なワークロード（たとえば CI / CD インフラストラクチャやデータベース）を実行しないでください。

Knative serving ワークロード用に複数のクラスタを作成する理由は次のとおりです。

  • 開発環境と本番環境を分離する。
  • 所有するチームが異なるアプリケーションを分離する。
  • 高い特権を必要とするワークロードを分離する。

クラスタの設計が完了したら、その保護のために次のことを行います。

コンポーネントの保護

Knative serving の一部ではないコンポーネントの保護は、お客様の責任です。

Cloud Service Mesh

Knative serving では、トラフィックのルーティングに Cloud Service Mesh が必要です。

Cloud Service Mesh を保護するには、次のガイドを参考にしてください。

Google Kubernetes Engine

Knative serving では、Google Kubernetes Engine（GKE）を使用してワークロードがスケジュールされます。クラスタを保護するには、次のことを行います。

既知の脆弱性

Knative serving の依存関係のセキュリティに関する公開情報をフォローして、既知の脆弱性に関する最新情報を入手してください。