k8s-security-policies
Kubernetes セキュリティポリシーと RBAC コントロールの実装
Kubernetes クラスターは、不正アクセスやネットワーク攻撃から保護するために適切なセキュリティポリシーが必要です。このスキルは、NetworkPolicy、RBAC、および Pod セキュリティ標準のそのまま使えるテンプレートを提供します。
スキルZIPをダウンロード
Claudeでアップロード
設定 → 機能 → スキル → スキルをアップロードへ移動
オンにして利用開始
テストする
「k8s-security-policies」を使用しています。 Create a NetworkPolicy that allows frontend pods to talk to backend on port 8080
期待される結果:
- NetworkPolicy created for namespace 'production'
- Ingress rule: allows traffic from pods with label app=frontend
- Target: pods with label app=backend on TCP port 8080
- All other ingress traffic to backend pods is denied
「k8s-security-policies」を使用しています。 Set up RBAC for a developer who needs read access to pods and deployments
期待される結果:
- Role 'developer-read' created in namespace 'development'
- Permissions: get, list, watch on pods and deployments
- RoleBinding 'dev-team-read' binds role to user 'alice@company.com'
- No write or delete permissions granted
セキュリティ監査
安全This skill contains Kubernetes security documentation and YAML templates. All static findings are false positives: the metadata endpoint IP is shown as an EXAMPLE OF WHAT TO BLOCK (security best practice), backtick patterns are markdown code fence syntax, and 'weak crypto' matches are Kubernetes resource names like 'cluster-admin'. No executable code or malicious patterns present.
リスク要因
🌐 ネットワークアクセス (4)
⚙️ 外部コマンド (67)
品質スコア
作れるもの
マルチテナント Kubernetes クラスターの保護
共有クラスターでのテナント間のアクセスを防止するために、NetworkPolicy と RBAC を使用して名前空間分離を実装します。
セキュリティ標準へのコンプライアンス達成
Pod セキュリティ標準と RBAC 構成を使用して、CIS Kubernetes Benchmark コントロールを適用します。
サービスの最小権限アクセスの構成
アプリケーションに必要な権限のみを付与する ServiceAccounts と RoleBindings を作成します。
これらのプロンプトを試す
payments 名前空間用のデフォルトですべての ingress および egress トラフィックを拒否する NetworkPolicy を作成します。
CI/CD サービスアカウントがアプリケーションをデプロイできるが、シークレットを読み取れない ClusterRole と RoleBinding を作成します。
違反の監査ログとともに本番名前空間に制限付き Pod セキュリティ標準を適用します。
フロントエンド、バックエンド、データベース階層を持つマイクロサービスアプリケーション用の完全なセキュリティポリシーセットを設計します。NetworkPolicy、RBAC、Pod セキュリティコンテキストを含みます。
ベストプラクティス
- デフォルト拒否 NetworkPolicy から始めて、特定の許可ルールを追加します
- 可能な場合は、名前空間スコープの Roles を ClusterRoles の代わりに使用します
- API アクセスを必要としないポッドの ServiceAccount トークンの自動マウントを無効にします
回避
- 本番 RBAC ルールでワイルドカード動詞やリソースを使用しないでください
- 本番名前空間での Pod セキュリティ標準の適用をスキップしないでください
- アプリケーション ServiceAccounts に cluster-admin を付与しないでください