mtls-configuration
ゼロトラストネットワーキング用のmTLS設定
相互TLS認証によるサービス間通信の保護。このスキルは、Kubernetes環境でのゼロトラストセキュリティを実装するためのIstio、Linkerd、SPIFFE、cert-managerのすぐに使用できるテンプレートを提供します。
スキルZIPをダウンロード
Claudeでアップロード
設定 → 機能 → スキル → スキルをアップロードへ移動
オンにして利用開始
テストする
「mtls-configuration」を使用しています。 Enable strict mTLS for my Istio mesh in the production namespace
期待される結果:
- Created PeerAuthentication resource in istio-system namespace with STRICT mode
- Applied mesh-wide mTLS requiring mutual authentication for all services
- Added DestinationRule using ISTIO_MUTUAL mode for automatic certificate management
- Note: Existing connections will be rejected until clients update their configurations
- Use 'istioctl authn tls-check' to verify mTLS status after deployment
「mtls-configuration」を使用しています。 Configure cert-manager for automatic workload certificates with 24-hour rotation
期待される結果:
- Created ClusterIssuer named 'istio-ca' for certificate signing
- Generated Certificate resource with 24-hour duration and 8-hour renewBefore
- Specified commonName and dnsNames for service identity
- Configured server auth and client auth certificate usages
- Secret 'my-service-tls' will be created automatically when Certificate is issued
「mtls-configuration」を使用しています。 Set up SPIRE for workload identity in my Kubernetes cluster
期待される結果:
- Created ConfigMap for SPIRE Server with sqlite3 datastore
- Configured k8s_psat node attestor with demo-cluster service account allow list
- Set UpstreamAuthority plugin with disk-based bootstrap credentials
- Generated DaemonSet for SPIRE Agent with socket volume mount
- Trust domain configured as 'example.org'
セキュリティ監査
安全This is a pure documentation skill containing YAML templates and guidance for mTLS configuration. All 58 static findings are false positives triggered by markdown documentation patterns (backticks for inline code), file paths in example YAML configs, and algorithm names in security documentation. No executable code, network calls, file access, or command execution capabilities exist. The skill does not generate, store, or transmit any certificates or keys.
リスク要因
🌐 ネットワークアクセス (6)
品質スコア
作れるもの
サービスメッシュセキュリティのデプロイ
マルチテナントKubernetesクラスタ用の名前空間レベルのmTLSポリシーと証明書管理を設定
mTLS障害のデバッグ
istioctlおよびkubectlコマンドを使用して、サービス間のTLSハンドシェイク障害を診断および解決
ゼロトラストアーキテクチャの実装
PCI-DSSまたはHIPAAへのコンプライアンスに合わせて、証明書の階層構造とmTLS要件を設計および文書化
これらのプロンプトを試す
本番名前空間のIstioメッシュ全体で厳格なmTLSを有効化します。名前空間レベルの適用用にPeerAuthenticationおよびDestinationRuleリソースを作成してください。
Istioサービスのワークロード証明書を発行するようにcert-managerを設定します。24時間の有効期間と有効期限前の自動更新が必要です。
example.orgをトラストドメインとして持つマルチクラスタKubernetes環境でのワークロードアイデンティティ用に、SPIRE ServerおよびAgent構成を作成してください。
Istioサービスが通信できません。peer認証ステータス、DestinationRule、TLSハンドシェイクエラーを確認するためにistioctlコマンドを使用してください。
ベストプラクティス
- 移行中はPERMISSIVEモードから開始し、すべてのサービスを検証した後STRICTに移行してください
- ワークロードアイデンティティには自動ローテーション付きの短命証明書（24時間以下）を使用してください
- 証明書の有効期限を監視し、サービス障害を防ぐためにアラートを設定してください
回避
- 本番環境で便宜上のmTLSの無効化
- 適切なCA階層なしの自己署名証明書の使用
- 証明書の有効期限を無視하거나ローテーション計画のスキップ
よくある質問
どのサービスメッシュプラットフォームがサポートされていますか？
どのくらいの証明書の有効期間が推奨されますか？
このスキルは既存のツールとどのように統合されますか？
私の証明書データは安全ですか？
mTLSを有効にした後，为什么我的服务失败了？
標準のTLSとどう異なりますか？
開発者の詳細
作成者
wshobsonライセンス
MIT
リポジトリ
https://github.com/wshobson/agents/tree/main/plugins/cloud-infrastructure/skills/mtls-configuration参照
main
ファイル構成
📄 SKILL.md