policy-opa
OPAでPolicy-as-Codeを強制する
セキュリティチームには、Kubernetes、インフラストラクチャ、コンプライアンスワークフロー全体で再現可能なポリシーチェックが必要です。このスキルは、一貫した検証のためのOPAとRegoのガイダンス、テンプレート、CI例を提供します。
スキルZIPをダウンロード
Claudeでアップロード
設定 → 機能 → スキル → スキルをアップロードへ移動
オンにして利用開始
Agent向けリソース
AI Agent、クローラー、またはスクリプトがページ全体ではなくクリーンなコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「policy-opa」を使用しています。 Kubernetes Pod manifestに特権コンテナが含まれており、seccomp profileがありません。
期待される結果:
レビューでは高リスクのpodセキュリティ違反を指摘し、特権モードが安全でない理由を説明し、非root実行、capabilitiesの削除、seccomp profileを推奨します。
「policy-opa」を使用しています。 Terraform planが公開データベースとインターネットに開放されたSSHルールを作成します。
期待される結果:
出力は重大なインフラストラクチャ検出事項を特定し、それらを修復アクションに対応付け、修正されるまでCIでデプロイをブロックすることを提案します。
「policy-opa」を使用しています。 チームがOPAチェックをSOC2統制と整合させる方法を尋ねています。
期待される結果:
応答では、統制別のポリシーパッケージ、監査に適した違反メッセージ、テストカバレッジの期待値、証跡保持ガイダンスを提案します。
セキュリティ監査
中リスクStatic analysis reported many high-severity patterns, but review found no prompt injection, malware behavior, or credential exfiltration. Most hits are false positives from Rego policy examples, compliance terms, public reference URLs, and defensive security vocabulary. The skill is medium risk because CI examples run shell commands and download OPA over the network, which users should review before copying into pipelines.
中リスクの問題 (2)
低リスクの問題 (4)
リスク要因
⚙️ 外部コマンド (5)
検出されたパターン
品質スコア
作れるもの
Kubernetesデプロイメントを検証する
特権コンテナ、host namespace、安全でないcapabilities、不足しているsecurity context設定をブロックするOPAまたはGatekeeperポリシーを作成します。
Apply前にTerraform Plansをチェックする
公開データベース、開放されたセキュリティグループ、不足している暗号化、ワイルドカードIAM権限、脆弱なバックアップ設定についてTerraform plan JSONをレビューします。
統制をコンプライアンス証跡に対応付ける
SOC2、PCI-DSS、GDPRのポリシー例を使用して、技術的チェックを統制名、重大度、修復メッセージに結び付けます。
これらのプロンプトを試す
特権コンテナを実行しているKubernetes Podsを拒否するOPA Regoポリシーを作成してください。短い説明と1つの正常系テストケースを含めてください。
バンドルされているpodセキュリティガイダンスに照らして、このKubernetes manifestをレビューしてください。ポリシー違反、重大度、実践的な修復手順を一覧化してください。
このTerraform planに対して、公開RDSインスタンス、インターネットに開放されたSSH、暗号化されていないS3 bucketsを検出するOPAポリシーを書いてください。
SOC2およびPCI-DSSの証跡収集のためのOPAポリシー構造を設計してください。packages、統制マッピング、テスト戦略、CIロールアウトガイダンスを含めてください。
ベストプラクティス
- 強制適用を有効にする前に、すべてのRegoルールを許可例と拒否例でテストしてください。
- CIツールのバージョンを固定し、ポリシーチェックを実行する前にダウンロードしたバイナリを検証してください。
- 監査モードから開始し、違反をレビューしてから、信頼度の高いポリシーをブロックモードに移行してください。
回避
- 権限とネットワークダウンロードをレビューせずに、CI例を本番パイプラインへコピーしないでください。
- シークレット、トークン、または生の機密Terraform plan値をポリシーやログに埋め込まないでください。
- ローカルの統制検証なしに、汎用的なコンプライアンステンプレートをコンプライアンスの証明として扱わないでください。