2026-05-13T00:41:53Z https://ipsj.ixsq.nii.ac.jp/oai

oai:ipsj.ixsq.nii.ac.jp:00214546 2025-01-19T16:34:59Z 6164:6165:6462:10749

マニフェスト署名検証に基づくKubernetesリソースのインテグリティ保護 Integrity Protection for Kubernetes Resource Based on Manifest Signature Verification 工藤, 瑠璃子 北原, 啓州 ガジャーナ, クガムーテ 渡邊, 裕治 Ruriko, Kudo Hirokuni, Kitahara Kugamoorthy, Gajananan Yuji, Watanabe クラウド，Kubernetes，インテグリティ，署名 政府や金融機関向けの高い保護レベルが要求される環境では，クラウド上のインテグリティ維持は重要な要件であり，米国のセキュリティ基準である NIST SP 800-53 では，電子署名の無いリソース作成は防がなければいけないと定められている．クラウドのプラットフォームである Kubernetes では，クラスターやアプリケーションの設定は Kubernetes リソースで定義される．この Kubernetes リソースは YAML マニフェストで表現される API リソースであるため，マニフェストに署名をつけて，Kubernetes API の呼び出し時にその署名を検証すれば，強力なクラウドのインテグリティ保護になる．このような検証処理は admission controller という機構を用いることで差し込むことができるが，実際にこの仕組みを実クラスタ上で実現する際には解決しなければならない技術課題が存在する．本稿では，それらの課題を解き，admission controller における署名検証に基づいた Kubernetes リソースのインテグリティ保護手法を提案し，実クラスタ上の評価実験から手法の有効性を示す． Integrity of the cloud is the most important requirement for mission-critical enterprise workloads. NIST SP 800-53 states that information systems must prevent the installation of any components that have not been verified digitally with a signed certificate that is recognized and approved by the organization's information system. On a Kubernetes cluster, the admission controller can control requests for application installation, and it would be a powerful protection tool if it could control requests for Kubernetes resources based on signature verification. However, there are various technical challenges when it comes to verifying the signature for a Kubernetes resource at the admission controller because a signed resource is rewritten automatically by internal cluster work and many requests that include internal mutation without a signature are generated. In this work, we propose an approach to protect the integrity of a Kubernetes resource with signature verification at the admission controller. conference paper 情報処理学会 2021-10-19 application/pdf コンピュータセキュリティシンポジウム2021論文集 1093 1100 https://ipsj.ixsq.nii.ac.jp/record/214546/files/IPSJCSS2021146.pdf jpn