Azure Kubernetes Service (AKS)の脆弱性データ API の概要

AKS 脆弱性データ API を使用すると、AKS で管理されるプラットフォーム コンポーネントで検出された一般的な脆弱性と露出 (CVE) にプログラムで読み取り専用でアクセスできます。 これは、AKS で管理されるコンポーネントの脆弱性に関する権限のある情報を必要とするセキュリティ チーム、コンプライアンス チーム、プラットフォーム所有者を対象としています。これには、各 CVE のパッチが含まれる AKS リリースが含まれます。 これらのコンポーネントの構造と更新方法の概念の概要については、 AKS コンポーネントのバージョン管理に関するページを参照してください。

この概要記事では、AKS 脆弱性データ API の目的、公開する CVE データの種類、およびそれを使用して AKS で管理されるコンポーネントのセキュリティ体制を経時的に理解する方法について説明します。

Note

この API では、クラスター固有の脆弱性のビューは提供されません。 AKS リリース、Kubernetes バージョン、およびノード イメージに対して CVE を追跡し、各 CVE のパッチを含む AKS リリースを識別します。 計画メンテナンス期間と AKS リリースの段階的なロールアウトにより、特定の時点で異なる AKS リリースで異なるクラスターを使用できます。

AKS 脆弱性データ API の構造

この API は、次の 3 つの AKS コンポーネント カテゴリによって編成された脆弱性データを表示します。

データは 、事前にスキャンされ、検証されたレポート から生成され、特定のリリース ポイントでの AKS マネージド コンポーネントのセキュリティ体制を反映します。

Important

AKS 脆弱性データ API は情報提供のみを目的としており、顧客が管理するワークロードに存在する脆弱性ではなく、AKS で管理される成果物で特定された脆弱性を報告します。

API では、次のことはありません。

  • 顧客クラスターをスキャンする
  • ランタイムの露出を分析
  • CVE が環境内で悪用可能かどうかを判断します。 悪用可能性は、API が可視性を持たないワークロードの動作、ネットワークの公開、アクセス制御に依存します。
  • 修正プログラムが適用された AKS リリースが特定のクラスターにロールアウトされたかどうかを示します。 特定のクラスターでのパッチの可用性は、クラスターの現在の AKS リリース、リージョンのロールアウト フェーズ、 および計画メンテナンス 期間によって異なります。

実行中のクラスターと顧客のワークロードの脆弱性評価には、Microsoft Defender for Containers やサードパーティのコンテナー セキュリティ スキャナーなどのツールを使用します。

脆弱性データを使用して、特定の CVE のパッチが含まれる AKS リリースを特定し、 計画メンテナンス期間が原因でそれらのリリースがクラスターで保留中かどうかを確認できます。

API にアクセスする

AKS 脆弱性データ API には、次のいずれかの方法でアクセスできます。

すべてのエンドポイントはパブリックにアクセスでき、読み取り専用です。 顧客固有の情報は公開されません。 アドホック探索と手動レビューには対話型ビューアーを使用します。 自動化、レポート作成、大規模な分析には REST API を使用します。

CVE データを解釈する方法

AKS 脆弱性データ API は、特定の時点で AKS で管理される成果物で検出された CVE を報告します。 レポート内の各 CVE は、 アクティブ または 軽減済みとして分類されます。

  • アクティブな CVE は、 レポートが生成された時点で、参照されている AKS 成果物バージョンで検出された脆弱性を示します。
  • 軽減された CVE は 、参照先の AKS 成果物の以前のバージョンで検出されたが、現在のバージョンには存在しなくなった脆弱性を示します。通常は、影響を受けるコンポーネントまたは OS パッケージがアップグレードされたためです。

適切なエクスペリエンスを選択する

AKS の脆弱性情報は、タスクの範囲に応じて、複数のエクスペリエンスを通じて利用できます。

Scope 推奨されるエクスペリエンス
単発のCVE検索または臨時調査 AKS CVE の状態とセキュリティ情報、または対話型ビューアーを使用します。
脆弱性スキャナーを使用しないクラスター固有の CVE 分析 この API のデータを、クラスターで実行されている AKS マネージド コンポーネントのバージョンと関連付ける。 AKS Component Insights を使用して、クラスターにデプロイされているコンポーネントのバージョンを検出できます。
大規模な CVE 分析または自動化 セキュリティ スキャナーによって報告された数百または数千の CVE を処理する必要があるシナリオでは、 AKS 脆弱性データ API を直接使用します。 これにより、実行中の AKS アーティファクトの脆弱性レポートをプログラムで取得し、スキャナーで報告された CVE をそれらの成果物レポートに存在する CVE と比較し、新しい AKS リリース、Kubernetes バージョン、またはノード イメージで修復される CVE を特定できます。

一括分析、関連付けワークフロー、自動化シナリオに API を使用する方法のガイダンスについては、「Azure Kubernetes Service (AKS)脆弱性データ API の使用を参照してください。

一般的なユース ケース

次のセクションでは、AKS 脆弱性データ API を使用して、AKS リリースの CVE の監査、リリース間の軽減された CVE の特定、Kubernetes バージョンの CVE の確認、ノード イメージの脆弱性の評価など、セキュリティとコンプライアンスのアクティビティをサポートできる一般的なシナリオについて説明します。

AKS リリースの CVE を監査する

特定の AKS プラットフォーム リリースの脆弱性データを取得して、AKS で管理されるシステム コンポーネントで修正された CVE を確認します。

AKS リリース間で軽減される CVE を特定する

AKS リリース レポートには、以前のリリースと比較して軽減された CVE を示す差分情報が含まれています。 AKS リリース トラッカーを確認して、進行中のリリースがリージョンに到達するタイミングを判断し、メンテナンス期間でアップグレードが許可されていることを確認します。

Kubernetes バージョンの CVE を確認する

特定の Kubernetes バージョンについて、影響する CVE を含む脆弱性情報を取得します:

  • Kubernetes コンポーネントイメージ。
  • AKS で管理される機能、アドオン、そのバージョンに関連付けられている拡張機能。

これは、Kubernetes のアップグレードを評価したり、サポートされているバージョン間で脆弱性の状態を比較したりする場合に便利です。 AKS リリース トラッカーを確認して、Kubernetes バージョンがリージョンに到達するタイミングを判断し、メンテナンス期間でアップグレードが許可されていることを確認します。

ノード イメージ (VHD) の脆弱性を確認する

ノード イメージ レポートでは、次の影響を受ける脆弱性が可視化されます。

  • ノード イメージに含まれる OS パッケージ。
  • ノード イメージにキャッシュされたコンテナー イメージ。

この情報は、ノード イメージのアップグレードを計画するときに役立ちます。 AKS リリース トラッカーを確認して、VHD バージョンがリージョンに到達するタイミングを判断し、メンテナンス期間でアップグレードが許可されていることを確認します。

関連するコンテンツ

  • 最終更新: