Amazon EKS の Security Hub CSPM コントロール

これらの Security Hub CSPM コントロールは、Amazon Elastic Kubernetes Service (Amazon EKS) サービスとリソースを評価します。コントロールは一部の で使用できない場合があります AWS リージョン。詳細については、「リージョン別のコントロールの可用性」を参照してください。

[EKS.1] EKS クラスターエンドポイントがパブリックにアクセスできないようにする必要があります

関連する要件: NIST.800-53.r5 AC-21、NIST.800-53.r5 AC-3、NIST.800-53.r5 AC-3(7)、NIST.800-53.r5 AC-4、NIST.800-53.r5 AC-4(21)、NIST.800-53.r5 AC-6、NIST.800-53.r5 SC-7、NIST.800-53.r5 SC-7(11)、NIST.800-53.r5 SC-7(16)、NIST.800-53.r5 SC-7(20)、NIST.8000-53.r53. NIST.800-53.r5 SC-7 PR.IRr

カテゴリ: 保護 > セキュアなネットワーク設定 > パブリックアクセス不可のリソース

重要度: 高

リソースタイプ : AWS::EKS::Cluster

AWS Config ルール : eks-endpoint-no-public-access

スケジュールタイプ : 定期的

パラメータ : なし

このコントロールは、Amazon EKS クラスターエンドポイントがパブリックにアクセス可能かどうかをチェックします。EKS クラスターにパブリックにアクセス可能なエンドポイントがある場合、コントロールは失敗します。

新しいクラスターを作成すると、Amazon EKS によって、マネージド型 Kubernetes API サーバー用にエンドポイントが作成されます。このエンドポイントは、ユーザーがクラスターとの通信に使用します。デフォルトでは、この API サーバーエンドポイントはインターネットで公開されています。API サーバーへのアクセスは、 AWS Identity and Access Management (IAM) とネイティブ Kubernetes ロールベースアクセスコントロール (RBAC) の組み合わせを使用して保護されます。エンドポイントへのパブリックアクセスを削除することで、意図しない公開やクラスターへのアクセスを防ぐことができます。

修正

既存の EKS クラスターのエンドポイントアクセスを変更するには、「Amazon EKS ユーザーガイド」の「クラスターエンドポイントのアクセスの変更」を参照してください。新しい EKS クラスターの作成時に、エンドポイントアクセスを設定できます。新しい Amazon EKS クラスターを作成する手順については、「Amazon EKS ユーザーガイド」の「Amazon EKS クラスターの作成」を参照してください。

[EKS.2] EKS クラスターは、サポートされている Kubernetes バージョンで実行する必要があります。

関連する要件: NIST.800-53.r5 CA-9(1)、NIST.800-53.r5 CM-2、NIST.800-53.r5 SI-2、NIST.800-53.r5 SI-2(2)、NIST.800-53.r5 SI-2(4)、NIST.800-53.r5 SI-2(5)、PCI DSS v4.0.1/12.3.4、CRI プロファイル v2.2/PR.PS-02.03

カテゴリ: 特定 > 脆弱性、パッチ、バージョン管理

重要度: 高

リソースタイプ : AWS::EKS::Cluster

AWS Config ルール : eks-cluster-supported-version

スケジュールタイプ : 変更がトリガーされた場合

パラメータ :

• oldestVersionSupported: 1.34 (カスタマイズ不可)

このコントロールは、Amazon Elastic Kubernetes Service (Amazon EKS) クラスターが標準サポートの Kubernetes バージョンで実行されているかどうかを確認します。Amazon EKS クラスターがサポート対象外または拡張サポートバージョンで実行されている場合、コントロールは失敗します。

アプリケーションが Kubernetes の特定のバージョンを必要としない場合は、EKS がクラスター用にサポートしている、Kubernetes の使用可能な最新バージョンを使用することが推奨されます。詳細については、「Amazon EKS ユーザーガイド」の「Amazon EKS Kubernetes リリースカレンダー」と「Amazon EKS の Kubernetes バージョンライフサイクルを理解する」を参照してください。

修正

EKS クラスターの更新方法については、「Amazon EKS ユーザーガイド」の「既存のクラスターを新しい Kubernetes バージョンに更新する」を参照してください。

[EKS.6] EKS クラスターにはタグを付ける必要があります

カテゴリ: 識別 > インベントリ > タグ付け

重要度: 低

リソースタイプ : AWS::EKS::Cluster

AWS Config rule: tagged-eks-cluster (カスタム Security Hub CSPM ルール)

スケジュールタイプ : 変更がトリガーされた場合

パラメータ :

パラメータ	説明	タイプ	許可されているカスタム値	Security Hub CSPM のデフォルト値
requiredTagKeys	評価されたリソースに含める必要があるシステム以外のタグキーのリスト。タグキーでは大文字と小文字が区別されます。	StringList (最大 6 項目)	AWS 要件を満たす 1～6 個のタグキー。	デフォルト値なし

このコントロールは、Amazon EKS クラスターにパラメータ requiredTagKeys で定義された特定のキーを持つタグがあるかどうかをチェックします。クラスターにタグキーがない場合、またはパラメータ requiredTagKeys で指定されたすべてのキーがない場合、コントロールは失敗します。パラメータ requiredTagKeys が指定されていない場合、コントロールはタグキーの存在のみをチェックし、クラスターにキーがタグ付けされていない場合は失敗します。自動的に適用され、aws: で始まるシステムタグは無視されます。

タグは、 AWS リソースに割り当てるラベルであり、キーとオプションの値で構成されます。タグを作成して、リソースを目的、所有者、環境、またはその他の基準で分類できます。タグは、リソースの識別、整理、検索、フィルタリングに役立ちます。タグ付けは、アクションと通知の説明責任のあるリソース所有者を追跡するのに役立ちます。タグ付けを使用する場合、タグに基づいてアクセス許可を定義する認証戦略として属性ベースのアクセス制御 (ABAC) を実装できます。タグは、IAM エンティティ (ユーザーまたはロール) および AWS リソースにアタッチできます。IAM プリンシパルに対して、単一の ABAC ポリシー、または個別のポリシーセットを作成できます。これらの ABAC ポリシーを、プリンシパルのタグがリソースタグと一致するときに操作を許可するように設計することができます。詳細については、「ABAC とは」を参照してください AWS。 「IAM ユーザーガイド」の「」を参照してください。

注記

タグには、個人を特定できる情報 (PII) や、機密情報あるいは秘匿性の高い情報は追加しないでください。タグには AWS のサービス、 を含む多くのユーザーがアクセスできます AWS Billing。タグ付けのベストプラクティスの詳細については、のAWS 「リソースのタグ付け」を参照してくださいAWS 全般のリファレンス。

修正

EKS クラスターにタグを追加するには、「Amazon EKS ユーザーガイド」の「Amazon EKS リソースのタグ付け」を参照してください。

[EKS.7] EKS ID プロバイダーの設定にはタグを付ける必要があります

カテゴリ: 識別 > インベントリ > タグ付け

重要度: 低

リソースタイプ : AWS::EKS::IdentityProviderConfig

AWS Config rule: tagged-eks-identityproviderconfig (カスタム Security Hub CSPM ルール)

スケジュールタイプ : 変更がトリガーされた場合

パラメータ :

パラメータ	説明	タイプ	許可されているカスタム値	Security Hub CSPM のデフォルト値
requiredTagKeys	評価されたリソースに含める必要があるシステム以外のタグキーのリスト。タグキーでは大文字と小文字が区別されます。	StringList (最大 6 項目)	AWS 要件を満たす 1～6 個のタグキー。	デフォルト値なし

このコントロールは、Amazon EKS ID プロバイダー設定に、パラメータ requiredTagKeys で定義された特定のキーを持つタグがあるかどうかをチェックします。設定にタグキーがない場合、またはパラメータ requiredTagKeys で指定されたすべてのキーがない場合、コントロールは失敗します。パラメータ requiredTagKeys が指定されていない場合、コントロールはタグキーの存在のみをチェックし、設定にキーがタグ付けされていない場合は失敗します。自動的に適用され、aws: で始まるシステムタグは無視されます。

タグは、 AWS リソースに割り当てるラベルであり、キーとオプションの値で構成されます。タグを作成して、リソースを目的、所有者、環境、またはその他の基準で分類できます。タグは、リソースの識別、整理、検索、フィルタリングに役立ちます。タグ付けは、アクションと通知の説明責任のあるリソース所有者を追跡するのに役立ちます。タグ付けを使用する場合、タグに基づいてアクセス許可を定義する認証戦略として属性ベースのアクセス制御 (ABAC) を実装できます。タグは、IAM エンティティ (ユーザーまたはロール) および AWS リソースにアタッチできます。IAM プリンシパルに対して、単一の ABAC ポリシー、または個別のポリシーセットを作成できます。これらの ABAC ポリシーを、プリンシパルのタグがリソースタグと一致するときに操作を許可するように設計することができます。詳細については、「ABAC とは」を参照してください AWS。 「IAM ユーザーガイド」の「」を参照してください。

注記

タグには、個人を特定できる情報 (PII) や、機密情報あるいは秘匿性の高い情報は追加しないでください。タグには AWS のサービス、 を含む多くのユーザーがアクセスできます AWS Billing。タグ付けのベストプラクティスの詳細については、の「 AWS リソースのタグ付け」を参照してくださいAWS 全般のリファレンス。

修正

EKS ID プロバイダー設定にタグを追加するには、「Amazon EKS ユーザーガイド」の「Amazon EKS リソースのタグ付け」を参照してください。

[EKS.8] EKS クラスターでは、監査ログ記録が有効になっている必要があります

関連する要件: NIST.800-53.r5 AC-2(12)、NIST.800-53.r5 AC-2(4)、NIST.800-53.r5 AC-4(26)、NIST.800-53.r5 AC-6(9)、NIST.800-53.r5 AU-10、NIST.800-53.r5 AU-12、NIST.800-53.r5 AU-2、NIST.800-53.r5 AU-3、NIST.800-53.r5 AU-6(3)、NIST.800-53.r5 AU-9AU-6(4)、NIST.800-53.r CA-7 NIST.800-53.r5 SC-7 SI-3 SI-4 SI-710.2.1 DE.AE DE.CM PR.PS5

カテゴリ: 識別 > ログ記録

重要度: 中

リソースタイプ : AWS::EKS::Cluster

AWS Config ルール : eks-cluster-log-enabled

スケジュールタイプ : 変更がトリガーされた場合

パラメータ :

• logTypes: audit (カスタマイズ不可)

このコントロールは、Amazon EKS クラスターで監査ログ記録が有効になっているかどうかをチェックします。クラスターで監査ログ記録が有効になっていない場合、コントロールは失敗します。

注記

このコントロールは、 AWS アカウントの Amazon Security Lake を介して Amazon EKS 監査ログ記録が有効になっているかどうかをチェックしません。

EKS コントロールプレーンのログ記録により、アカウント内で EKS コントロールプレーンから Amazon CloudWatch Logs に対し、監査および診断ログを直接送れるようになります。必要なログタイプを選択することで、CloudWatch 内で各 EKS クラスターのためのグループに対し、ログストリームの形態でログを送信できます。ログ記録により、EKS クラスターのアクセスとパフォーマンスを可視化できます。EKS クラスターの EKS コントロールプレーンログを CloudWatch Logs に送信することで、監査と診断を目的とした操作を一元的な場所に記録できます。

修正

EKS クラスターの監査ログを有効にするには、「Amazon EKS ユーザーガイド」の「コントロールプレーンログの有効化と無効化」を参照してください。

[EKS.9] EKS ノードグループは、サポートされている Kubernetes バージョンで実行する必要があります

カテゴリ: 特定 > 脆弱性、パッチ、バージョン管理

重要度: 高

リソースタイプ : AWS::EKS::Nodegroup

AWS Config ルール : eks-nodegroup-supported-version-check

スケジュールタイプ : 変更がトリガーされた場合

パラメータ :

• oldestVersionSupported: 1.34 (カスタマイズ不可)

このコントロールは、Amazon EKS ノードグループが標準で Kubernetes バージョンをサポートしているかどうかをチェックします。Amazon EKS ノードグループがサポート対象外または拡張サポートバージョンで実行されている場合、コントロールは失敗します。

標準サポートの Kubernetes バージョンのみが、セキュリティパッチ、バグ修正、およびセキュリティ機能の完全なセットを受け取ります。延長サポートのバージョンは、重要で重要な脆弱性のパッチを受け取りますが、新しい Kubernetes バージョンで導入された重要度の低い脆弱性、セキュリティ以外のバグ修正、またはセキュリティ機能のパッチは受け取りません。Amazon EKS はノードグループを自動的にアップグレードしないため、ノードレベルのパッチは、最新の Amazon EKS 最適化 AMIs を使用するようにノードグループを更新した後にのみ適用されます。延長サポートの終了を過ぎたバージョンは、セキュリティパッチ、バグ修正、または互換性の更新を受信しなくなりました AWS。サポートされていないバージョンには、新しいリリースで対処された既知の脆弱性が含まれている可能性があり、Kubernetes エコシステムで更新された AWS のサービス、コンテナイメージ、およびサードパーティーのツールとの互換性の問題が発生する可能性があります。アプリケーションが特定のバージョンの Kubernetes を必要としない場合は、Amazon EKS でサポートされている最新の利用可能な Kubernetes バージョンをノードグループに使用することをお勧めします。詳細については、「Amazon EKS Kubernetes リリースカレンダー」および「Amazon EKS ユーザーガイド」の「ノード更新の各フェーズを理解する」を参照してください。

修正

EKS ノードグループを更新するには、「Amazon EKS ユーザーガイド」の「クラスターのマネージドノードグループを更新する」を参照してください。