Azure Kubernetes Service (AKS) でのポッドサンドボックス (プレビュー)

[アーティクル]
08/03/2024

信頼されていないか、悪意がある可能性のあるコードからコンテナーワークロードをセキュリティで保護するために、AKS にはポッドサンドボックス (プレビュー) というメカニズムが含まれるようになりました。ポッドサンドボックスは、コンテナーアプリケーションと、コンテナーホストの共有カーネルおよびコンピューティングリソースとの間の分離境界を提供します。たとえば、CPU、メモリ、ネットワークなどです。ポッドサンドボックスは、他のセキュリティ対策またはデータ保護制御を補完して、アーキテクチャ全体の機密情報をセキュリティで保護するための規制、業界、またはガバナンスのコンプライアンス要件を満たすのに役立ちます。

この記事は、この新機能とその実装方法を理解するのに役立ちます。

前提条件

Azure CLI、バージョン 2.44.1 以降。 az --version を実行してバージョンを見つけ、az upgrade を実行してバージョンをアップグレードします。インストールまたはアップグレードする必要がある場合は、Azure CLI のインストールに関するページを参照してください。
aks-preview Azure CLI 拡張機能バージョン 0.5.123 以降。
Azure サブスクリプションに KataVMIsolationPreview 機能を登録すること。
AKS は、すべての AKS ネットワークプラグインでバージョン 1.24.0 以降のポッドサンドボックス (プレビュー) をサポートします。
Kubernetes クラスターを管理するには、Kubernetes のコマンドラインクライアントである kubectl を使用します。 Azure Cloud Shell には kubectl が付属しています。 az aks install-cli コマンドを使用して kubectl をローカルにインストールできます。

aksプレビューの Azure CLI 拡張機能をインストールする

重要

AKS のプレビュー機能は、セルフサービスのオプトイン単位で利用できます。プレビューは、"現状有姿" および "利用可能な限度" で提供され、サービスレベルアグリーメントおよび限定保証から除外されるものとします。 AKS プレビューは、ベストエフォートベースでカスタマーサポートによって部分的にカバーされます。そのため、これらの機能は、運用環境での使用を意図していません。詳細については、次のサポート記事を参照してください。

aksプレビュー拡張機能をインストールして、次のコマンドを実行します：

az extension add --name aks-preview

次のコマンドを実行して、リリースされた最新バージョンの拡張機能に更新します：

az extension update --name aks-preview

KataVMIsolationPreview 機能フラグを登録する

KataVMIsolationPreview 機能フラグは、次の例のとおり、KataVMIsolationPreview コマンドを使用して登録します。

az feature register --namespace "Microsoft.ContainerService" --name "KataVMIsolationPreview"

状態が [登録済み] と表示されるまでに数分かかります。登録の状態は、az feature show コマンドで確認します。

az feature show --namespace "Microsoft.ContainerService" --name "KataVMIsolationPreview"

状態が Registered として表示されたら、az provider register コマンドを使用して Microsoft.ContainerService リソースプロバイダーの登録を最新の情報に更新します。

az provider register --namespace "Microsoft.ContainerService"

制限事項

ポッドサンドボックス (プレビュー) のこのプレビューでの制約を次に示します。

Kata Containers は、従来のコンテナーが Azure Files およびハイパフォーマンスのローカル SSD で到達できる IOPS パフォーマンスの上限に達しない場合があります。
Microsoft Defender for Containers は、Kata ランタイムポッドの評価をサポートしていません。
Kata ホストネットワークはサポートされていません。

しくみ

AKS でこの機能を実現するために、AKS スタック用の Azure Linux コンテナーホストで実行される Kata Containers は、ハードウェアによって強制される分離を提供します。ポッドサンドボックスは、各 Kata ポッドに別個のカーネルなどの、ハードウェア分離の利点を拡張します。ハードウェア分離では、ポッドごとにリソースが割り当てられ、同じホストで実行されている他の Kata Containers や名前空間コンテナーとリソースを共有しません。

このソリューションアーキテクチャは、次のコンポーネントに基づいています。

AKS 用の Azure Linux コンテナーホスト
Microsoft Hyper-V ハイパーバイザー
Azure によって調整された Dom0 Linux カーネル
オープンソースの Cloud Hypervisor 仮想マシンモニター (VMM)
Kata Containers フレームワークとの統合

Kata Containers を使用したポッドサンドボックスのデプロイは、コンテナーをデプロイする標準的なコンテナーワークフローと同様です。デプロイには、ポッドテンプレートで定義できる kata-runtime オプションが含まれています。

ポッドでこの機能を使用する上での唯一の違いは、runtimeClassName kata-mshv-vm-isolation をポッド仕様に追加することです。

ポッドが "kata-mshv-vm-isolation" runtimeClass を使用すると、コンテナーをホストするポッドサンドボックスとして機能する VM が作成されます。コンテナーリソースマニフェスト (containers[].resources.limits) で CPU とメモリの制限が指定されていない場合、VM の既定のメモリは 2 GB で、既定の CPU は 1 つのコアです。コンテナーリソースマニフェストで CPU またはメモリの制限を指定すると、VM には "1 + x 個の CPU" を使用するための 1 引数を持つ containers[].resources.limits.cpu と、"2 GB + y のメモリー" を指定するための 2 引数を持つ containers[].resources.limits.memory が設定されます。コンテナーで使用できる CPU とメモリは、コンテナーの制限までです。 containers[].resources.requests は、CPU とメモリのオーバーヘッドを削減するための取り組み中であるため、このプレビューの間は無視されます。

新しいクラスターをデプロイする

次の手順を実行して、Azure CLI を使用して AKS Linux AKS クラスターをデプロイします。

az aks create コマンドを使用し、次のパラメーターを指定して、AKS クラスターを作成します。
- --workload-runtime: "KataMshvVmIsolation" を指定して、ノードプールでポッドサンドボックス機能を有効にします。このパラメーターにより、次の他のパラメーターが次の要件を満たすようになります。ない場合、コマンドは失敗し、対応するパラメーターに関する問題を報告します。
- --os-sku: AzureLinux。このプレビューリリースでは、Azure Linux OS SKU のみがこの機能をサポートします。
- --node-vm-size: 第 2 世代 VM であり、入れ子になった仮想化をサポートする任意の Azure VM サイズが機能します。たとえば、Dsv3 VM です。
次の例では、myResourceGroup 内の 1 つのノードで myAKSCluster という名前のクラスターを作成します。
```
az aks create 
    --name myAKSCluster \
    --resource-group myResourceGroup \
    --os-sku AzureLinux \
    --workload-runtime KataMshvVmIsolation \
    --node-vm-size Standard_D4s_v3 \
    --node-count 1 \
    --generate-ssh-keys
```
次のコマンドを実行して、Kubernetes クラスターのアクセス資格情報を取得します。 az aks バージョン変更資格情報コマンドを使用してクラスター名とリソースグループ名の既定値を置き換えます。
```
az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
```
kubectl get pods コマンドを使用して、すべての名前空間内のすべてのポッドを一覧表示します。
```
kubectl get pods --all-namespaces
```

既存のクラスターにデプロイする

既存の AKS クラスターでこの機能を使用するには、次の要件を満たす必要があります。

KataVMIsolationPreview 機能フラグを登録する手順に従うこと。
クラスターで、Kubernetes バージョン 1.24.0 以上を実行中であることが確認されていること。

次のコマンドを使用して、ポッドサンドボックス (プレビュー) をホストするノードプールを作成することで、それを有効にします。

az aks nodepool add コマンドを使用して、AKS クラスターにノードプールを追加します。次のパラメーターを指定します。
- --resource-group: AKS クラスターを作成する既存のリソースグループの名前を入力します。
- クラスター名: AKS クラスターの一意の名前 ("myAKSCluster" など) を入力します。
- --name: "nodepool2" などのクラスターノードプールの一意の名前を入力します。
- --workload-runtime: "KataMshvVmIsolation" を指定して、ノードプールでポッドサンドボックス機能を有効にします。 --workload-runtime パラメーターにより、次の他のパラメーターが次の要件を満たすようになります。ない場合、コマンドは失敗し、対応するパラメーターに関する問題を報告します。
  - --os-sku: AzureLinux。プレビューリリースでは、Azure Linux OS SKU のみがこの機能をサポートします。
  - --node-vm-size: 第 2 世代 VM であり、入れ子になった仮想化をサポートする任意の Azure VM サイズが機能します。たとえば、Dsv3 VM です。
次の例では、"myResourceGroup" の "nodepool2" に 1 つのノードを持つノードプールを "myAKSCluster" に追加します。
```
az aks nodepool add --cluster-name myAKSCluster --resource-group myResourceGroup --name nodepool2 --os-sku AzureLinux --workload-runtime KataMshvVmIsolation --node-vm-size Standard_D4s_v3
```
az aks update コマンドを実行して、クラスターでポッドサンドボックス (プレビュー) を有効にします。
```
az aks update --name myAKSCluster --resource-group myResourceGroup
```

信頼されたアプリケーションをデプロイする

AKS クラスター内の共有カーネルに信頼されたアプリケーションをデプロイする方法を示すには、次の手順を実行します。

信頼されたポッドを記述する "trusted-app.yaml" という名前のファイルを作成して、次のマニフェストを貼り付けます。

kind: Pod
apiVersion: v1
metadata:
  name: trusted
spec:
  containers:
  - name: trusted
    image: mcr.microsoft.com/aks/fundamental/base-ubuntu:v0.0.11
    command: ["/bin/sh", "-ec", "while :; do echo '.'; sleep 5 ; done"]

kubectl apply コマンドを実行して Kubernetes ポッドをデプロイし、"trusted-app.yaml" ファイルを指定します。
```
kubectl apply -f trusted-app.yaml
```
コマンドの出力は、次の例のようになります。
```
pod/trusted created
```

信頼されていないアプリケーションをデプロイする

AKS クラスター上のポッドサンドボックスに信頼されないアプリケーションをデプロイする方法を示すには、次の手順を実行します。

信頼されていないポッドを記述する "untrusted-app.yaml" という名前のファイルを作成して、次のマニフェストを貼り付けます。

kind: Pod
apiVersion: v1
metadata:
  name: untrusted
spec:
  runtimeClassName: kata-mshv-vm-isolation
  containers:
  - name: untrusted
    image: mcr.microsoft.com/aks/fundamental/base-ubuntu:v0.0.11
    command: ["/bin/sh", "-ec", "while :; do echo '.'; sleep 5 ; done"]

runtimeClassNameSpec の値は kata-mhsv-vm-isolation です。

kubectl apply コマンドを実行して Kubernetes ポッドをデプロイし、"untrusted-app.yaml" ファイルを指定します。
```
kubectl apply -f untrusted-app.yaml
```
コマンドの出力は、次の例のようになります。
```
pod/untrusted created
```

カーネル分離の構成を確認する

AKS クラスター内のコンテナーにアクセスするために、kubectl exec コマンドを実行してシェルセッションを開始します。この例では、"信頼されていない" ポッド内のコンテナーにアクセスしています。
```
kubectl exec -it untrusted -- /bin/bash
```
Kubectl がクラスターに接続し、"信頼されていない" ポッド内の最初のコンテナー内で /bin/sh を実行し、ターミナルの入力と出力のストリームをコンテナーのプロセスに転送します。 "信頼された" ポッドをホストしているコンテナーへのシェルセッションを開始することもできます。
"信頼されていない" ポッドのコンテナーへのシェルセッションを開始した後、コマンドを実行して、"信頼されていない" コンテナーがポッドサンドボックスで実行されていることを確認できます。サンドボックスの外部にある "信頼された" コンテナーとは異なるカーネルバージョンを持っていることがわかります。

カーネルのバージョンを確認するには、次のコマンドを実行します。
```
uname -r
```
ポッドサンドボックスのカーネルからの出力は次の例のようになります。
```
root@untrusted:/# uname -r
5.15.48.1-8.cm2
```
"信頼された" ポッドのコンテナーへのシェルセッションを開始して、カーネル出力を確認します。
```
kubectl exec -it trusted -- /bin/bash
```
カーネルのバージョンを確認するには、次のコマンドを実行します。
```
uname -r
```
"信頼された" ポッドを実行している VM からの出力は、次の例のようになります。これは、ポッドサンドボックス内で実行されている "信頼されていない" ポッドとは異なるカーネルです。
```
5.15.80.mshv2-hvl1.m2
```

クリーンアップ

この機能の評価が完了したら、Azure の料金を回避するために、不要なリソースをクリーンアップします。評価またはテストの一部として新しいクラスターをデプロイした場合は、az aks delete コマンドを使用してクラスターを削除できます。

az aks delete --resource-group myResourceGroup --name myAKSCluster

既存のクラスターでポッドサンドボックス (プレビュー) を有効にした場合は、kubectl delete pod コマンドを使用してポッドを削除できます。

kubectl delete pod pod-name

次のステップ

ハードウェアの分離と Azure プラットフォームのメンテナンスイベントの制御を使用するための、AKS クラスターを持つノード用の Azure 専用ホストの詳細について確認します。

次の方法で共有

Azure Kubernetes Service (AKS) でのポッドサンドボックス (プレビュー)

前提条件

aksプレビューの Azure CLI 拡張機能をインストールする

KataVMIsolationPreview 機能フラグを登録する

制限事項

しくみ

新しいクラスターをデプロイする

既存のクラスターにデプロイする

信頼されたアプリケーションをデプロイする

信頼されていないアプリケーションをデプロイする

カーネル分離の構成を確認する

クリーンアップ

次のステップ

その他のリソース

次の方法で共有

Azure Kubernetes Service (AKS) でのポッド サンドボックス (プレビュー)

前提条件

aksプレビューの Azure CLI 拡張機能をインストールする

KataVMIsolationPreview 機能フラグを登録する

制限事項

しくみ

新しいクラスターをデプロイする

既存のクラスターにデプロイする

信頼されたアプリケーションをデプロイする

信頼されていないアプリケーションをデプロイする

カーネル分離の構成を確認する

クリーンアップ

次のステップ

その他のリソース

Azure Kubernetes Service (AKS) でのポッドサンドボックス (プレビュー)