数あるKubernetesの静的Yamlセキュリティアナリシスツールの中からKubesecを紹介。 ソースコードやテキストファイルをチェックし、ルールに対して適合しているかをチェックし、場合によってはルールを強制する。CI/CDツールの中ではCode Commit前、コンテナイメージビルド前等に使われる。KubesecはKubernetesのマニフェスト（Yaml）をチェックするツール。 これらは一般的には非推奨な事項ではあるものの、ユーザの状況やワークロードの種類によって判別されるものであり、ユーザ自身のポリシーに依存するためプロダクトとして制御されない。そういったギャップをチェックするために有効に使うことができる。 公式サイトのトップページにあるLive Demoで使い方のイメージがつかめる。まずはhttps://kubesec.io/ にアクセスし、Live Demoの下にある”Submit this Yaml to Kubesec”をクリックしてみる。 すると以下のJsonファイル（Yamlファイルのスキャンの結果）が表示される。 jsonファイルの見方 score: 高いほど良い。kubesecに事前定義されたチェック項目を満たした分だけscoreに加算される。 Passedフィールドにはチェックにパスした項目（Scoreに加算されることとなった推奨される And 設定済みセキュリティ設定）が表示される。 advice フィールドには追加で設定すべきセキュリティ設定、それを設定することで得られるポイントが表示される。 手元のKinDで実行。結果は一部省略しているところもあり。Docker イメージ以外の使い方はこちらのGithubを参照。 2. pod.yamlをkubesec コンテナイメージに食わせて実行する。（実行するためのkubesecコンテナイメージはこちらから最新の情報をチェック） 何もセキュリティ対策を施さない状態ではScoreが0のまま。表示されたアドバイスに従い、試しに一つセキュリティ設定を足してみる。(securityContext.readOnlyRootFilesystem) 再度実行するとスコアが1加算された状態になる。 Kubernetesにデプロイする前のYamlファイルをチェックするため、現在動いているクラスタに影響を与えずにセキュリティのチェックができる。結果として表示されるスコアやadviceの結果を用いること、またそれを実行する手段も複数用意されていることから、遵守させたいポリシーがYamlに記載されているかどうかのチェックも比較的簡単にCI/CDツールに組み込みすることができる。 セキュリティ対策は「これをやったら問題なし」という事はなく、多少防御によって守ることが基本。簡単に始められてある程度網羅的にチェックをしてくれるkubesec、興味があったら使ってみてはどうでしょうか。