Azure Kubernetes Service (AKS)脆弱性データ API を使用する

AKS 脆弱性データ API を使用すると、AKS マネージド プラットフォーム コンポーネントで検出された脆弱性をプログラムで読み取り専用で可視化できます。 この API は 、セキュリティ チーム、コンプライアンス チーム、プラットフォーム所有者 を対象としており、特定のクラスター ランタイムの状態に関係なく、AKS で管理される成果物に影響を与える脆弱性に関する権限のある情報を必要とします。

この記事では、AKS 脆弱性データ API を使用して、AKS リリース、Kubernetes バージョン、ノード イメージ、コンテナー イメージ、OS パッケージなど、AKS で管理される成果物の CVE レポートをプログラムで取得する方法について説明します。 API 要求の例を示し、応答を解釈して、大規模な CVE 分析、自動化、セキュリティ スキャナーの結果との相関関係をサポートする方法を示します。 API の背後にある概念の概要については、「Vulnerability Data API for Azure Kubernetes Service (AKS)の概要を参照してください。

CVE レポートのクエリ

次の例では、AKS 脆弱性データ API にクエリを実行して、AKS リリース、Kubernetes バージョン、ノード イメージ、コンテナー イメージ、OS パッケージの CVE レポートを取得する方法を示します。

AKS リリースの CVE を照会する

# 1. List available AKS releases
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/_index | jq '.aks_release_versions'

# 2. Get CVE report for a specific release
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/v20260104/scan-reports | jq '.'

Kubernetes バージョンの CVE を照会する

# 1. List available Kubernetes versions
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/_index | jq '.k8s_versions'

# 2. Get CVE report for a specific Kubernetes version
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/1.32.9/scan-reports | jq '.'

ノード イメージ (VHD) の CVE を照会する

# 1. List available VHD releases
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/_index | jq '.vhd_release_versions'

# 2. Get CVE report for a specific VHD
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/AKSUbuntu-gen2-2204containerd/202601.13.0/scan-reports | jq '.'

特定のコンテナー イメージに対して CVE を照会する

# Get CVE scan report for a specific tagged container image
curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11/scan-reports | jq '.'

# Get CVE mitigation history for a container image repository
curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy/mitigation-reports | jq '.'

特定の OS パッケージの CVE のクエリを実行する

# Get CVE scan report for a specific OS package version
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/3.0.2-0ubuntu1.20/scan-reports | jq '.'

# Get CVE mitigation history for an OS package
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/mitigation-reports | jq '.'

エンドポイント

AKS 脆弱性データ API は、AKS リリース、Kubernetes バージョン、ノード イメージ、コンテナー イメージ、OS パッケージの CVE レポートを取得するためのエンドポイントを公開します。 各エンドポイントは、使用可能なバージョンのインデックスまたは特定のバージョンまたは成果物の詳細スキャン レポートへのアクセスを提供します。 次のセクションでは、各エンドポイント、使用可能な操作、予想される要求と応答の形式について説明します。

AKS リリース

AKS リリース インデックスを取得する

次のエンドポイントは、使用可能な CVE レポートを含むすべての AKS リリース バージョンのインデックスを返します。

GET /api/v1/aks-releases/_index

要求の例:

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/_index

応答の例:

{
  "aks_release_versions": [
    "v20250427",
    "v20250519",
    "v20250617",
    "v20250720",
    "v20250808",
    "v20250829",
    "v20250921",
    "v20251012",
    "v20260104"
  ],
  "report_time": "2026-01-27T16:19:36.181877605Z"
}

応答フィールド:

フィールド タイプ Description
aks_release_versions string[] 利用可能な AKS リリース バージョン(時系列順に並べ替え)
report_time string (ISO 8601) このインデックスが最後に生成されたとき

AKS リリース CVE レポートを取得する

次のエンドポイントは、システム名前空間内のすべてのコンテナー イメージ、アクティブな CVE、および以前のリリースと比較した CVE の差分を含む、特定の AKS リリース バージョンの詳細な CVE レポートを返します。

GET /api/v1/aks-releases/{version}/scan-reports

パス パラメーター:

パラメーター タイプ Description 例
version 文字列 インデックスからの AKS リリース バージョン v20260104

要求の例:

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/v20260104/scan-reports

応答の例 (省略形):

{
  "aks_release_version": "v20260104",
  "previous_aks_release_version": "v20251012",
  "container_targets": [
    {
      "pod_namespace": "kube-system",
      "container_name": "coredns",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/oss/v2/kubernetes/coredns:v1.9.4-9"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/oss/v2/kubernetes/coredns:v1.9.4-9@sha256:718de5d12a..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2025-47914"},
        {"id": "CVE-2025-58181"},
        {"id": "CVE-2025-61727"},
        {"id": "CVE-2025-61729"}
      ],
      "removed_container_images_from_previous_release": {
        "image_repo_tags": [],
        "image_repo_digests": []
      },
      "mitigated_cves_from_previous_release": []
    },
    {
      "pod_namespace": "gatekeeper-system",
      "container_name": "azure-policy-audit",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.15.3"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.15.3@sha256:67745758..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2025-61727"},
        {"id": "CVE-2025-61729"}
      ],
      "removed_container_images_from_previous_release": {
        "image_repo_tags": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.14.2"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.14.2@sha256:33218f96..."
        ]
      },
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2025-47912"},
        {"id": "CVE-2025-47914"},
        {"id": "CVE-2025-58181"}
      ]
    }
  ],
  "report_time": "2026-01-27T16:19:36.181877605Z"
}

応答フィールド:

フィールド タイプ Description
aks_release_version 文字列 現在の AKS リリース バージョン
previous_aks_release_version 文字列 以前のリリース バージョン (差分計算に使用)
container_targets AKSReleaseContainerTarget[] このリリースに含まれるすべてのコンテナーコンポーネント
report_time string (ISO 8601) レポート生成タイムスタンプ

Kubernetes バージョンリリース

Kubernetes バージョンのインデックスを取得する

次のエンドポイントは、使用可能な CVE レポートを含むすべての Kubernetes バージョンのインデックスを返します。

GET /api/v1/aks-k8s-releases/_index

要求の例:

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/_index

応答の例:

{
  "k8s_versions": [
    "1.27.102",
    "1.27.103",
    "1.28.100",
    "1.29.14",
    "1.30.0",
    "1.30.14",
    "1.31.1",
    "1.32.0",
    "1.32.10",
    "1.33.0",
    "1.33.6",
    "1.34.0",
    "1.34.2"
  ],
  "report_time": "2026-01-27T16:14:37.928201259Z"
}

応答フィールド:

フィールド タイプ Description
k8s_versions string[] 使用可能な Kubernetes バージョン(semver で並べ替え)
report_time string (ISO 8601) このインデックスが最後に生成されたとき

Kubernetes バージョンの CVE レポートを取得する

次のエンドポイントは、特定の Kubernetes バージョンの CVE レポートを返し、そのバージョンのコア Kubernetes コンポーネントと AKS アドオンによって使用されるコンテナー イメージの脆弱性について詳しく説明します。

GET /api/v1/aks-k8s-releases/{version}/scan-reports

パス パラメーター:

パラメーター タイプ Description 例
version 文字列 インデックスからの Kubernetes バージョン 1.33.2

要求の例:

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/1.33.2/scan-reports

応答の例 (省略形):

{
  "k8s_version": "1.33.2",
  "container_targets": [
    {
      "container_image": "mcr.microsoft.com/oss/kubernetes/kube-apiserver",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/oss/kubernetes/kube-apiserver:v1.33.2"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/oss/kubernetes/kube-apiserver:v1.33.2@sha256:abc123..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2025-47912"},
        {"id": "CVE-2025-58181"}
      ]
    },
    {
      "container_image": "mcr.microsoft.com/aks/aks-app-routing-operator",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/aks/aks-app-routing-operator:0.0.3"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/aks/aks-app-routing-operator:0.0.3@sha256:c1ff16ca..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2023-39318"},
        {"id": "CVE-2023-39319"},
        {"id": "CVE-2023-39325"}
      ]
    }
  ],
  "report_time": "2026-01-27T16:14:37.928201259Z"
}

応答フィールド:

フィールド タイプ Description
k8s_version 文字列 Kubernetes のバージョン (たとえば、 "1.33.2")
container_targets AKSK8SContainerTarget[] この Kubernetess バージョンのコンテナー イメージ
report_time string (ISO 8601) レポート生成タイムスタンプ

VHD (ノードイメージ) リリース

VHD リリース インデックスを取得する

次のエンドポイントは、使用可能な CVE レポートを含むすべての VHD リリースのインデックスを返します。

GET /api/v1/vhd-releases/_index

要求の例:

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/_index

応答の例 (省略形):

{
  "vhd_release_versions": [
    "AKSAzureLinux-gen1/202507.02.0",
    "AKSAzureLinux-gen2/202512.06.0",
    "AKSAzureLinux-gen2fips/202510.03.0",
    "AKSAzureLinuxV3-gen2/202511.20.0",
    "AKSCBLMarinerV2-gen2/202508.20.0",
    "AKSUbuntu-gen1-2204containerd/202601.13.0",
    "AKSUbuntu-gen2-2404containerd/202601.13.0"
  ],
  "report_time": "2026-01-27T16:21:23.056129543Z"
}

応答フィールド:

フィールド タイプ Description
vhd_release_versions string[] {distro}/{version}形式で利用可能な VHD リリース
report_time string (ISO 8601) このインデックスが最後に生成されたとき

利用可能なディストリビューション:

ディストリビューション プレフィックス Description
AKSAzureLinux-gen1 Azure Linux V2、第 1 世代
AKSAzureLinux-gen2 Azure Linux V2、第 2 世代
AKSAzureLinux-gen1fips Azure Linux V2、Gen 1、FIPS 対応
AKSAzureLinux-gen2fips Azure Linux V2、Gen 2、FIPS 対応
AKSAzureLinux-gen2kata Azure Linux V2、Gen 2、Kata コンテナー
AKSAzureLinux-gen2tl Azure Linux V2、Gen 2、TL バリアント
AKSAzureLinuxV3-gen1 Azure Linux V3、第 1 世代
AKSAzureLinuxV3-gen2 Azure Linux V3、第 2 世代
AKSAzureLinuxV3-gen1fips Azure Linux V3、Gen 1、FIPS 対応
AKSAzureLinuxV3-gen2fips Azure Linux V3、Gen 2、FIPS 対応
AKSAzureLinuxV3-gen2tl Azure Linux V3、Gen 2、TL バリアント
AKSCBLMarinerV2-gen1 CBL-Mariner V2、第 1 世代
AKSCBLMarinerV2-gen2 CBL-Mariner V2、第 2 世代
AKSCBLMarinerV2-gen1fips CBL-Mariner V2、Gen 1、FIPS 対応
AKSCBLMarinerV2-gen2fips CBL-Mariner V2、Gen 2、FIPS 対応
AKSCBLMarinerV2-gen2kata CBL-Mariner V2、Gen 2、Kata コンテナー
AKSCBLMarinerV2-gen2tl CBL-Mariner V2、Gen 2、TL バリアント
AKSUbuntu-gen1-2004fipscontainerd Ubuntu 20.04、Gen 1、FIPS
AKSUbuntu-gen1-2204containerd Ubuntu 22.04、第 1 世代
AKSUbuntu-gen1-2404containerd Ubuntu 24.04、第 1 世代
AKSUbuntu-gen2-2004cvmcontainerd Ubuntu 20.04、Gen 2、Confidential VM
AKSUbuntu-gen2-2004fipscontainerd Ubuntu 20.04、Gen 2、FIPS
AKSUbuntu-gen2-2204containerd Ubuntu 22.04、第 2 世代
AKSUbuntu-gen2-2404containerd Ubuntu 24.04、第 2 世代
AKSUbuntu-gen2-2204tlcontainerd Ubuntu 22.04、Gen 2、TL バリアント
AKSUbuntu-gen2-2404tlcontainerd Ubuntu 24.04、Gen 2、TL バリアント

VHD リリース CVE レポートを取得する

次のエンドポイントは、そのリリースに含まれる OS パッケージとコンテナー イメージの両方を含む、特定の VHD リリースの CVE レポートを返します。

GET /api/v1/vhd-releases/{distro}/{version}/scan-reports

パス パラメーター:

パラメーター タイプ Description 例
distro 文字列 Linux ディストリビューション識別子 AKSUbuntu-gen2-2204containerd
version 文字列 VHD リリース バージョン 202601.13.0

要求の例:

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/AKSUbuntu-gen2-2204containerd/202601.13.0/scan-reports

応答の例 (省略形):

{
  "distro_name": "AKSUbuntu/gen2/2204containerd",
  "vhd_release_version": "202601.13.0",
  "previous_vhd_release_version": "202512.06.0",
  "os_package_targets": [
    {
      "name": "libtasn1-6",
      "version": "4.18.0-4ubuntu0.2",
      "active_cves": [],
      "previous_version": "4.18.0-4ubuntu0.1",
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2021-46848"},
        {"id": "CVE-2025-13151"}
      ]
    },
    {
      "name": "python3.10",
      "version": "3.10.12-1~22.04.13",
      "active_cves": [],
      "previous_version": "3.10.12-1~22.04.12",
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2025-13836"}
      ]
    }
  ],
  "container_targets": [
    {
      "container_image": "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.1-main-11-14-2025-15146744-cfg"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.1-main-11-14-2025-15146744-cfg@sha256:6ce08d12..."
        ]
      },
      "active_cves": [],
      "removed_container_images_from_previous_release": {
        "image_repo_tags": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.0-main-10-20-2025-fe8f6d51-targetallocator"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.0-main-10-20-2025-fe8f6d51-targetallocator@sha256:314e20ca..."
        ]
      },
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2025-47914"},
        {"id": "CVE-2025-4802"},
        {"id": "CVE-2025-58181"},
        {"id": "CVE-2025-61727"},
        {"id": "CVE-2025-61729"}
      ]
    }
  ],
  "report_time": "2026-01-27T16:21:23.056129543Z"
}

応答フィールド:

フィールド タイプ Description
distro_name 文字列 Linux ディストリビューション名 (たとえば、 "AKSAzureLinux/gen2")
vhd_release_version 文字列 現在の VHD リリース バージョン
previous_vhd_release_version 文字列 以前の VHD リリース バージョン
os_package_targets AKSVHDOSPackageTarget[] この VHD の OS パッケージ
container_targets AKSVHDContainerTarget[] この VHD にバンドルされているコンテナー イメージ
report_time string (ISO 8601) レポート生成タイムスタンプ

コンテナー イメージ

コンテナー イメージ エンドポイントは、個々のコンテナー イメージに対して、イメージごとの CVE スキャン レポートとクロスリリース軽減の追跡を提供します。 これらのエンドポイントには _index の一覧はありません。完全なイメージ パスで移動します。

コンテナー イメージの CVE スキャン レポートを取得する

次のエンドポイントは、完全なイメージ パスとタグによって識別される特定のコンテナー イメージの CVE スキャン レポートを取得します。

GET /api/v1/container-images/{image}:{tag}/scan-reports

パス パラメーター:

パラメーター タイプ Description 例
image 文字列 レジストリを含む完全なイメージ名 mcr.microsoft.com/oss/kubernetes/kube-proxy
tag 文字列 イメージ タグ v1.31.11

要求の例:

curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11/scan-reports

応答の例 (省略形):

{
  "image_repo_tags": [
    "mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11"
  ],
  "image_repo_digests": [
    "mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11@sha256:abc123..."
  ],
  "report_time": "2026-02-20T16:12:42.081442479Z",
  "active_cves": [
    {
      "scanner": {
        "name": "trivy",
        "version": "0.69.1"
      },
      "cves": [
        {"id": "CVE-2024-13176"},
        {"id": "CVE-2025-47914"}
      ]
    }
  ]
}

応答フィールド:

フィールド タイプ Description
image_repo_tags string[] スキャンされた画像の画像タグ
image_repo_digests string[] サポートされているすべてのプラットフォームのイメージ ダイジェスト
report_time string (ISO 8601) レポート生成タイムスタンプ
active_cves CVEList[] スキャナー別にグループ化されたアクティブな CVE

コンテナー イメージの CVE 軽減策レポートを取得する

次のエンドポイントは、特定のコンテナー イメージ リポジトリの CVE 軽減レポートを取得し、どの CVE がどのコンポーネントのバージョンとリリースで、どのバージョンとリリースで軽減されたかを示します。

GET /api/v1/container-images/{image}/mitigation-reports

パス パラメーター:

パラメーター タイプ Description 例
image 文字列 レジストリを含む完全なイメージ名 (タグなし) mcr.microsoft.com/oss/kubernetes/kube-proxy

要求の例:

curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy/mitigation-reports

応答の例 (省略形):

{
  "container_image": "mcr.microsoft.com/oss/kubernetes/kube-proxy",
  "mitigations": [
    {
      "cve": {"id": "CVE-2023-2253"},
      "seen_in_component_versions": ["v1.27.102-akslts"],
      "seen_in_aks_release_versions": [],
      "seen_in_aks_k8s_release_versions": [],
      "seen_in_vhd_release_versions": ["AKSAzureLinux-gen1/202507.02.0"],
      "mitigated_in_component_versions": [],
      "mitigated_in_aks_release_versions": [],
      "mitigated_in_aks_k8s_release_versions": [],
      "mitigated_in_vhd_release_versions": []
    }
  ]
}

応答フィールド:

フィールド タイプ Description
container_image 文字列 タグのないイメージ名
mitigations CVEMitigation[] このイメージの CVE 軽減エントリ

VHD OS パッケージ

VHD OS パッケージ エンドポイントは、VHD ノード イメージにインストールされている個々の OS パッケージに対して、パッケージごとの CVE スキャン レポートとクロスリリース軽減策の追跡を提供します。 これらのエンドポイントには _index 一覧がありません。パッケージ名で移動します。

VHD OS パッケージ CVE スキャン レポートを取得する

次のエンドポイントは、VHD ノード イメージにインストールされている特定の OS パッケージ バージョンの CVE スキャン レポートを取得します。

GET /api/v1/vhd-packages/{name}/{version}/scan-reports

パス パラメーター:

パラメーター タイプ Description 例
name 文字列 OS パッケージ名 (小文字) openssl
version 文字列 パッケージ バージョン 3.0.2-0ubuntu1.20

要求の例:

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/3.0.2-0ubuntu1.20/scan-reports

応答の例:

{
  "name": "openssl",
  "version": "3.0.2-0ubuntu1.20",
  "active_cves": [
    {"id": "CVE-2025-15467"},
    {"id": "CVE-2025-68160"}
  ],
  "report_time": "2026-02-20T16:14:09.253455099Z"
}

応答フィールド:

フィールド タイプ Description
name 文字列 パッケージ名
version 文字列 パッケージ バージョン
active_cves CVE[] 使用可能な修正プログラムを含むアクティブな CVE
report_time string (ISO 8601) レポート生成タイムスタンプ

VHD OS パッケージ CVE 軽減レポートを取得する

次のエンドポイントは、特定の OS パッケージの CVE 軽減レポートを取得し、どの CVE がどのパッケージ バージョンと VHD リリースで、どのバージョンで軽減されたかを示します。

GET /api/v1/vhd-packages/{name}/mitigation-reports

パス パラメーター:

パラメーター タイプ Description 例
name 文字列 OS パッケージ名 (小文字) openssl

要求の例:

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/mitigation-reports

応答の例 (省略形):

{
  "package_name": "openssl",
  "mitigations": [
    {
      "cve": {"id": "CVE-2025-15467"},
      "seen_in_component_versions": ["3.3.3-2.azl3", "3.3.3-3.azl3"],
      "seen_in_aks_release_versions": [],
      "seen_in_aks_k8s_release_versions": [],
      "seen_in_vhd_release_versions": ["AKSAzureLinuxV3-gen1/202507.02.0"],
      "mitigated_in_component_versions": [],
      "mitigated_in_aks_release_versions": [],
      "mitigated_in_aks_k8s_release_versions": [],
      "mitigated_in_vhd_release_versions": []
    }
  ]
}

応答フィールド:

フィールド タイプ Description
package_name 文字列 OS パッケージ名
mitigations CVEMitigation[] このパッケージの CVE 軽減エントリ

データ モデル

次のセクションでは、CVE エントリの構造、コンテナー イメージ参照、AKS リリース コンポーネント、VHD OS パッケージ、それらの関係など、AKS 脆弱性データ API によって返されるデータ モデルについて説明します。

CVE

CVE データ モデルは、一般的な脆弱性と露出の識別子です。

フィールド タイプ Description
id 文字列 CVE 識別子 (たとえば、 "CVE-2024-13176"、 "GHSA-2464-8j7c-4cjm")

ContainerImages

ContainerImages データ モデルは、人間が判読できるタグとコンテンツアドレス指定可能なダイジェストの両方を含む、一連のコンテナー イメージ参照を表します。

フィールド タイプ Description
image_repo_tags string[] 画像タグ (例: "mcr.microsoft.com/oss/kubernetes/coredns:v1.9.4-9")
image_repo_digests string[] サポートされているすべてのプラットフォームのイメージ ダイジェスト ( "mcr.microsoft.com/oss/kubernetes/coredns:v1.9.4-9@sha256:abc..." など)

Note

ダイジェストには、マルチアーキテクチャ マニフェストからのすべての Linux プラットフォーム バリアント (amd64、arm64) が含まれます。 これにより、ノードがプルしたプラットフォーム固有のダイジェストに関係なく、CVE データを照合できます。

AKSReleaseContainerTarget

AKSReleaseContainerTarget データ モデルは、特定の AKS リリース内のコンテナー コンポーネントを表します。これは、ポッドの名前空間と実行先のコンテナー名によって識別され、使用するコンテナー イメージと、それに影響を与える CVE によって識別されます。

フィールド タイプ Description
pod_namespace 文字列 Kubernetes 名前空間 (たとえば、 "kube-system"、 "calico-system")
container_name 文字列 コンテナー名 (たとえば、 "coredns"、 "calico-node")
active_container_images ContainerImages このコンポーネントで現在実行中のコンテナー イメージ
active_cves CVE[] このコンポーネントに現在影響を与えている使用可能な修正プログラムを含む CVE
removed_container_images_from_previous_release ContainerImages 以前のリリースには含まれていたが、現在は稼働していないイメージ
mitigated_cves_from_previous_release CVE[] 以前のリリースに存在していたが、このリリースで修正された CVE

AKSK8SContainerTarget

AKSK8SContainerTarget データ モデルは、特定の Kubernetes バージョンに関連付けられたコンテナー イメージを表します。これには、そのイメージのタグ付けされたイメージ参照とダイジェスト、およびそれに影響を与える CVE が含まれます。

フィールド タイプ Description
container_image 文字列 タグのないイメージ名 (たとえば、 "mcr.microsoft.com/oss/kubernetes/kube-apiserver")
active_container_images ContainerImages タグ付けされた画像の参照とダイジェスト
active_cves CVE[] 使用可能な修正プログラムを含むアクティブな CVE

AKSVHDContainerTarget

AKSVHDContainerTarget データ モデルは、VHD ノード イメージに含まれるコンテナー イメージと、それに影響を与えるタグ付きイメージ参照、ダイジェスト、および CVE を表します。

フィールド タイプ Description
container_image 文字列 タグのないイメージ名
active_container_images ContainerImages タグ付けされた画像の参照とダイジェスト
active_cves CVE[] 使用可能な修正プログラムを含むアクティブな CVE
removed_container_images_from_previous_release ContainerImages 以前の VHD リリース以降に削除されたイメージ
mitigated_cves_from_previous_release CVE[] 以前の VHD リリース以降に修正された CVE

AKSVHDOSPackageTarget

AKSVHDOSPackageTarget データ モデルは、VHD ノード イメージにインストールされている OS レベルのパッケージと、インストールされているバージョン、それに影響を与える CVE、および以前の VHD リリースからの変更を表します。

フィールド タイプ Description
name 文字列 パッケージ名 ( "kernel"、 "containerd"、 "systemd"など)
version 文字列 パッケージのバージョン (たとえば、 "6.1.109.2-1.cm2")
active_cves CVE[] 使用可能な修正プログラムを含むアクティブな CVE
previous_version 文字列 以前の VHD リリースのバージョン (変更されていない場合は空)
mitigated_cves_from_previous_release CVE[] 以前の VHD リリース以降に修正された CVE

CVEScanner

CVEScanner データ モデルは、コンテナー イメージの CVE スキャン結果を生成する脆弱性スキャナーのメタデータを表します。

フィールド タイプ Description
name 文字列 スキャナー名 (たとえば、 "trivy")
version 文字列 スキャナーのバージョン (たとえば、 "0.69.1")

CVEList

CVEList データ モデルは、特定のコンテナー イメージに対して特定の脆弱性スキャナーによって検出された一連の CVE を表します。 各エントリは、スキャナーメタデータを検出した CVE のリストに関連付けます。

フィールド タイプ Description
scanner CVEScanner これらの結果を生成したスキャナー
cves CVE[] このスキャナーによって検出された CVE

CVEMitigation

CVEMitigation データ モデルは、コンポーネントのバージョンとリリースの種類にわたって 1 つの CVE を追跡し、それが観察された場所と軽減された場所を示します。

フィールド タイプ Description
cve CVE 追跡対象のCVE
seen_in_component_versions string[] この CVE が検出されたコンポーネント バージョン (イメージ タグまたはパッケージ バージョン)
seen_in_aks_release_versions string[] この CVE が検出された AKS リリース バージョン
seen_in_aks_k8s_release_versions string[] この CVE が検出された Kubernetes リリース バージョン
seen_in_vhd_release_versions string[] この CVE が検出された VHD リリース バージョン
mitigated_in_component_versions string[] この CVE が修正されたコンポーネントのバージョン
mitigated_in_aks_release_versions string[] この CVE が修正された AKS リリース バージョン
mitigated_in_aks_k8s_release_versions string[] この CVE が修正された Kubernetes リリース バージョン
mitigated_in_vhd_release_versions string[] この CVE が修正された VHD リリース バージョン

差分追跡

AKS リリース レポートと VHD リリース レポートには、現在のリリースと前のリリースを比較する デルタ フィールド が含まれています。

  • mitigated_cves_from_previous_release: 以前のリリースに存在していたが、検出されなくなった CVE。 これは、脆弱性が修正されたことを意味します（例えば、コンポーネントのバージョン更新などによって）。
  • removed_container_images_from_previous_release: 以前のリリースで実行されていたが、現在のリリースでは存在しないコンテナー イメージ。

Note

Kubernetes バージョン のレポート には、 デルタ フィールドは含まれません。

マルチアーキテクチャ ダイジェスト

各コンテナー イメージには、さまざまな CPU アーキテクチャ (amd64、arm64) をカバーする複数のダイジェスト参照が含まれる場合があります。 この API には、マルチアーキテクチャ マニフェスト からのすべての Linux プラットフォーム ダイジェスト が含まれているため、ノードがプルした特定のプラットフォーム ダイジェストに関係なく CVE データを照合できます。

レポートのバージョン形式

AKS 脆弱性データ API レポートでは、報告されるリリースの種類に応じて異なるバージョン管理スキームが使用されます。 次の表は、AKS リリース、Kubernetes バージョン、VHD リリースに使用される形式をまとめたものです。

リリースの種類 Format 例
AKS のリリース v{YYYYMMDD} v20260104
Kubernetes バージョン Semver 1.33.2
VHD リリース {distro}/{YYYYMM.DD.patch} AKSAzureLinux-gen2/202512.06.0

関連するコンテンツ

AKS 脆弱性データ API の詳細については、「Vulnerability Data API for Azure Kubernetes Service (AKS)の概要を参照してください。

  • 最終更新: