From 3a044c18d6fe40de56eb095d3c39ce5ba765473a Mon Sep 17 00:00:00 2001 From: Takaaki Fujii Date: Mon, 24 Aug 2020 23:44:43 +0900 Subject: [PATCH 1/8] finished translate --- content/ja/docs/concepts/security/overview.md | 132 ++++++++++++++++++ 1 file changed, 132 insertions(+) create mode 100644 content/ja/docs/concepts/security/overview.md diff --git a/content/ja/docs/concepts/security/overview.md b/content/ja/docs/concepts/security/overview.md new file mode 100644 index 0000000000..ea14270e4c --- /dev/null +++ b/content/ja/docs/concepts/security/overview.md @@ -0,0 +1,132 @@ +--- +reviewers: +title: クラウドネイティブセキュリティの概要 +content_type: concept +weight: 10 +--- + + + +この概要では、クラウドネイティブセキュリティにおけるKubernetesのセキュリティを考えるためのモデルを定義します。 + +{{< warning >}} +コンテナセキュリティモデルは、実証済の情報セキュリティポリシーではなく提案を提供します。 +{{< /warning >}} + + + +## クラウドネイティブセキュリティの４C + +セキュリティは階層で考えることができます。クラウドネイティブの4Cは、クラウド、クラスター、コンテナ、そしてコードです。 + +{{< note >}} +階層化されたアプローチは、セキュリティに対する[多層防御](https://en.wikipedia.org/wiki/Defense_in_depth_(computing))のアプローチを強化します。これはソフトウェアシステムを保護するベストプラクティスとして幅広く認知されています。 +{{< /note >}} + +{{< figure src="/images/docs/4c.png" title="クラウドネイティブセキュリティの４C" >}} + +クラウドネイティブセキュリティモデルの各レイヤーは次の最も外側のレイヤー上に構築します。コードレイヤーは、強固な基盤（クラウド、クラスター、コンテナ）セキュリティレイヤーから恩恵を受けます。コードレベルのセキュリティに対応しても基盤レイヤーが低い水準のセキュリティでは守ることができません。 + +## クラウド + +いろいろな意味でも、クラウド（または同じ場所に設置されたサーバー、企業のデータセンター）はKubernetesクラスターの[トラステッドコンピューティングベース](https://en.wikipedia.org/wiki/Trusted_computing_base)です。クラウドレイヤーが脆弱な（または脆弱な方法で構成されている）場合、この基盤の上に構築されたコンポーネントが安全であるという保証はありません。各クラウドプロバイダーは、それぞれの環境でワークロードを安全に実行させるためのセキュリティの推奨事項を作成しています。 + +### クラウドプロバイダーのセキュリティ + +Kubernetesクラスターを所有しているハードウェアや様々なクラウドプロバイダー上で実行している場合、セキュリティのベストプラクティスに関するドキュメントを参考にします。ここでは人気のあるクラウドプロバイダーのセキュリティドキュメントの一部のリンクを紹介します。 + +{{< table caption="Cloud provider security" >}} + +IaaSプロバイダー | リンク | +-------------------- | ------------ | +Alibaba Cloud | https://www.alibabacloud.com/trust-center | +Amazon Web Services | https://aws.amazon.com/security/ | +Google Cloud Platform | https://cloud.google.com/security/ | +IBM Cloud | https://www.ibm.com/cloud/security | +Microsoft Azure | https://docs.microsoft.com/en-us/azure/security/azure-security | +VMWare VSphere | https://www.vmware.com/security/hardening-guides.html | + +{{< /table >}} + +### インフラのセキュリティ {#infrastructure-security} + +Kubernetesクラスターのインフラを保護するための提案です。 + +{{< table caption="Infrastructure security" >}} + +Kubernetesインフラに関する懸念事項 | 推奨事項 | +--------------------------------------------- | -------------- | +API Server(コントロールプレーン)へのネットワークアクセス| Kubernetesコントロールプレーンへのすべてのアクセスは、インターネット上での一般公開は許されず、クラスター管理に必要なIPアドレスに制限するネットワークアクセス制御リストによって制御されます。| +Nodeへのネットワークアクセス | Nodeはコントロールプレーンの特定ポート _のみ_ 接続(ネットワークアクセス制御リストを介して)を受け入れるよう設定し、NodePortとLoadBalancerタイプのKubernetesのServiceに関する接続を受け入れるよう設定する必要があります。可能であれば、それらのNodeはパブリックなインターネットに完全公開しないでください。| +KubernetesからのクラウドプロバイダーAPIへのアクセス | 各クラウドプロバイダーはKubernetesコントロールプレーンとNodeに異なる権限を与える必要があります。[最小権限の原則](https://en.wikipedia.org/wiki/Principle_of_least_privilege)に従い、管理に必要なリソースに対してクラウドプロバイダーへのアクセスをクラスターに提供するのが最善です。[Kopsドキュメント](https://github.com/kubernetes/kops/blob/master/docs/iam_roles.md#iam-roles)にはIAMのポリシーとロールについての情報が記載されています。| +etcdへのアクセス | etcd(Kubernetesのデータストア)へのアクセスはコントロールプレーンのみに制限すべきです。設定によっては、TLS経由でetcdを利用する必要があります。詳細な情報は[etcdドキュメント](https://github.com/etcd-io/etcd/tree/master/Documentation)を参照してください。| +etcdの暗号化 | 可能な限り、保存時に全ドライブを暗号化することは良いプラクティスですが、etcdはクラスター全体(Secretを含む)の状態を保持しているため、そのディスクは特に暗号化する必要があります。| + +{{< /table >}} + +## クラスター + +Kubernetesを保護する為には２つの懸念事項があります。 + +* 設定可能なクラスターコンポーネントの保護 +* クラスターで実行されるアプリケーションの保護 + +### クラスターのコンポーネント {#cluster-components} + +想定外または悪意のあるアクセスからクラスターを保護して適切なプラクティスを採用したい場合、[クラスターの保護](/docs/tasks/administer-cluster/securing-a-cluster/)に関するアドバイスを読み、従ってください。 + +### クラスター内のコンポーネント(アプリケーション) {#cluster-applications} + +アプリケーションを対象にした攻撃に応じて、セキュリティの特定側面に焦点をあてたい場合があります。例:他のリソースとの連携で重要なサービス(サービスA)と、リソース枯渇攻撃に対して脆弱な別のワークロード(サービスB)が実行されている場合、サービスBのリソースを制限していないとサービスAが危険にさらされるリスクが高くなります。次の表はセキュリティの懸念事項とKubernetesで実行されるワークロードを保護するための推奨事項を示しています。 + + +ワークロードセキュリティに関する懸念事項 | 推奨事項 | +------------------------------ | --------------------- | +RBAC認可(Kubernetes APIへのアクセス) | https://kubernetes.io/docs/reference/access-authn-authz/rbac/ +認証 | https://kubernetes.io/docs/reference/access-authn-authz/controlling-access/ | +アプリケーションのSecret管理(およびetcdへの保存時に暗号化) | https://kubernetes.io/ja/docs/concepts/configuration/secret/
https://kubernetes.io/docs/tasks/administer-cluster/encrypt-data/ | +Pod Security Policies | https://kubernetes.io/docs/concepts/policy/pod-security-policy/ | +Quality of Service (およびクラスターリソース管理) | https://kubernetes.io/ja/docs/tasks/configure-pod-container/quality-service-pod/ | +Network Policies | https://kubernetes.io/docs/concepts/services-networking/network-policies/ | +Kubernetes IngressのTLS | https://kubernetes.io/ja/docs/concepts/services-networking/ingress/#tls | + + +## コンテナ + +コンテナセキュリティは本ガイドの範囲外になります。このトピックを検索するために一般的な推奨事項とリンクを以下に示します。 + +コンテナに関する懸念事項 | 推奨事項 | +------------------------------ | -------------- | +コンテナの脆弱性スキャンとOS依存のセキュリティ | イメージをビルドする手順の一部として、既知の脆弱性がないかコンテナをスキャンする必要があります。 | +イメージの署名と実施 | コンテナイメージを署名し、コンテナの中身に関する信頼性を維持します。 | +特権ユーザーを許可しない | コンテナの構成時に、コンテナの目的を実行するために必要最低限なOS特権を持ったユーザーをコンテナ内部に作成する方法のドキュメントを参考にしてください。 | + +## コード + +アプリケーションコードは、あなたが最も制御できる主要な攻撃対象のひとつです。アプリケーションコードを保護することはKubernetesのセキュリティトピックの範囲外ですが、アプリケーションコードを保護するための推奨事項を以下に示します。 + +### コードセキュリティ + +{{< table caption="Code security" >}} + +コードに関する懸念事項 | 推奨事項 | +-------------------------| -------------- | +TLS経由のアクセスのみ | コードがTCP通信を必要とする場合は、事前にクライアントとのTSLハンドシェイクを実行してください。 いくつかの例外を除いて、全ての通信を暗号化してください。さらに一歩すすめて、サービス間のネットワークトラフィックを暗号化することはよい考えです。これは、サービスを特定した2つの証明書で通信の両端を検証する相互認証、または[mTLS](https://en.wikipedia.org/wiki/Mutual_authentication)して知られているプロセスを通じて実行できます。| +通信ポートの範囲制限 | この推奨事項は一目瞭然かもしれませんが、可能なかぎり、通信とメトリクス収集に必要不可欠なサービスのポートのみを公開します。 | +サードパティに依存するセキュリティ | 既知の脆弱性についてアプリケーションのサードパーティ製ライブラリーを定期的にスキャンすることを推奨します。それぞれの言語は自動でこのチェックを実行するツールを持っています。 | +静的コード解析 | ほとんどの言語ではコードのスニペットを解析して、安全でない可能性のあるコーディングを分析する方法が提供しています。可能な限り、コードベースでスキャンして、よく起こるセキュリティエラーを検出できる自動ツールを使用してチェックを実行すべきです。一部のツールはここで紹介されています。 https://owasp.org/www-community/Source_Code_Analysis_Tools | +動的プロービング攻撃 | よく知られているいくつかのサービス攻撃をサービスに対して試すことができる自動ツールがいくつかあります。これにはSQLインジェクション、CSRF、そしてXSSが含まれます。よく知られている動的解析ツールは[OWASP Zed Attack proxy](https://owasp.org/www-project-zap/)toolです。 | + +{{< /table >}} + +## {{% heading "whatsnext" %}} + +関連するKubernetesセキュリティについて学びます。 + +* [Podのセキュリティ基準](/docs/concepts/security/pod-security-standards/) +* [PodのNetwork policies](/docs/concepts/services-networking/network-policies/) +* [クラスターの保護](/docs/tasks/administer-cluster/securing-a-cluster/) +* [APIアクセスコントロール](/docs/reference/access-authn-authz/controlling-access/) +* コントロールプレーンとの[通信時のデータ暗号化](/docs/tasks/tls/managing-tls-in-a-cluster/) +* [保存時のデータ暗号化](/docs/tasks/administer-cluster/encrypt-data/) +* [Kubernetes Secrets](/ja/docs/concepts/configuration/secret/) From b676bf3f537106cd17bfa7807b83f7a94f9469d0 Mon Sep 17 00:00:00 2001 From: Takaaki Fujii Date: Tue, 25 Aug 2020 21:43:35 +0900 Subject: [PATCH 2/8] fix some kubernetes resource display name --- content/ja/docs/concepts/security/overview.md | 10 +++++----- 1 file changed, 5 insertions(+), 5 deletions(-) diff --git a/content/ja/docs/concepts/security/overview.md b/content/ja/docs/concepts/security/overview.md index ea14270e4c..24a90e455a 100644 --- a/content/ja/docs/concepts/security/overview.md +++ b/content/ja/docs/concepts/security/overview.md @@ -73,7 +73,7 @@ Kubernetesを保護する為には２つの懸念事項があります。 ### クラスターのコンポーネント {#cluster-components} -想定外または悪意のあるアクセスからクラスターを保護して適切なプラクティスを採用したい場合、[クラスターの保護](/docs/tasks/administer-cluster/securing-a-cluster/)に関するアドバイスを読み、従ってください。 +想定外または悪意のあるアクセスからクラスターを保護して適切なプラクティスを採用したい場合、[クラスターの保護](/docs/tasks/administer-cluster/securing-a-cluster/)に関するアドバイスを読み従ってください。 ### クラスター内のコンポーネント(アプリケーション) {#cluster-applications} @@ -85,9 +85,9 @@ Kubernetesを保護する為には２つの懸念事項があります。 RBAC認可(Kubernetes APIへのアクセス) | https://kubernetes.io/docs/reference/access-authn-authz/rbac/ 認証 | https://kubernetes.io/docs/reference/access-authn-authz/controlling-access/ | アプリケーションのSecret管理(およびetcdへの保存時に暗号化) | https://kubernetes.io/ja/docs/concepts/configuration/secret/
https://kubernetes.io/docs/tasks/administer-cluster/encrypt-data/ | -Pod Security Policies | https://kubernetes.io/docs/concepts/policy/pod-security-policy/ | +PodSecurityPolicy | https://kubernetes.io/docs/concepts/policy/pod-security-policy/ | Quality of Service (およびクラスターリソース管理) | https://kubernetes.io/ja/docs/tasks/configure-pod-container/quality-service-pod/ | -Network Policies | https://kubernetes.io/docs/concepts/services-networking/network-policies/ | +NetworkPolicy | https://kubernetes.io/docs/concepts/services-networking/network-policies/ | Kubernetes IngressのTLS | https://kubernetes.io/ja/docs/concepts/services-networking/ingress/#tls | @@ -124,9 +124,9 @@ TLS経由のアクセスのみ | コードがTCP通信を必要とする場合 関連するKubernetesセキュリティについて学びます。 * [Podのセキュリティ基準](/docs/concepts/security/pod-security-standards/) -* [PodのNetwork policies](/docs/concepts/services-networking/network-policies/) +* [PodのNetworkPolicy](/docs/concepts/services-networking/network-policies/) * [クラスターの保護](/docs/tasks/administer-cluster/securing-a-cluster/) * [APIアクセスコントロール](/docs/reference/access-authn-authz/controlling-access/) * コントロールプレーンとの[通信時のデータ暗号化](/docs/tasks/tls/managing-tls-in-a-cluster/) * [保存時のデータ暗号化](/docs/tasks/administer-cluster/encrypt-data/) -* [Kubernetes Secrets](/ja/docs/concepts/configuration/secret/) +* [Kubernetes Secret](/ja/docs/concepts/configuration/secret/) From 360d997d1e629968b968ec2b2307caeea5aff186 Mon Sep 17 00:00:00 2001 From: takaf04 Date: Sat, 29 Aug 2020 22:44:07 +0900 Subject: [PATCH 3/8] Update content/ja/docs/concepts/security/overview.md Co-authored-by: Keita Akutsu --- content/ja/docs/concepts/security/overview.md | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git a/content/ja/docs/concepts/security/overview.md b/content/ja/docs/concepts/security/overview.md index 24a90e455a..2deeedb51a 100644 --- a/content/ja/docs/concepts/security/overview.md +++ b/content/ja/docs/concepts/security/overview.md @@ -33,7 +33,7 @@ weight: 10 ### クラウドプロバイダーのセキュリティ -Kubernetesクラスターを所有しているハードウェアや様々なクラウドプロバイダー上で実行している場合、セキュリティのベストプラクティスに関するドキュメントを参考にします。ここでは人気のあるクラウドプロバイダーのセキュリティドキュメントの一部のリンクを紹介します。 +Kubernetesクラスターを所有しているハードウェアや様々なクラウドプロバイダー上で実行している場合、セキュリティのベストプラクティスに関するドキュメントを参考にしてください。ここでは人気のあるクラウドプロバイダーのセキュリティドキュメントの一部のリンクを紹介します。 {{< table caption="Cloud provider security" >}} From 45bfb0adf354534077fdb511f9e298c0316f2216 Mon Sep 17 00:00:00 2001 From: takaf04 Date: Sat, 29 Aug 2020 22:45:22 +0900 Subject: [PATCH 4/8] Update content/ja/docs/concepts/security/overview.md Co-authored-by: Keita Akutsu --- content/ja/docs/concepts/security/overview.md | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git a/content/ja/docs/concepts/security/overview.md b/content/ja/docs/concepts/security/overview.md index 2deeedb51a..44ca99f5eb 100644 --- a/content/ja/docs/concepts/security/overview.md +++ b/content/ja/docs/concepts/security/overview.md @@ -97,7 +97,7 @@ Kubernetes IngressのTLS | https://kubernetes.io/ja/docs/concepts/services-netwo コンテナに関する懸念事項 | 推奨事項 | ------------------------------ | -------------- | -コンテナの脆弱性スキャンとOS依存のセキュリティ | イメージをビルドする手順の一部として、既知の脆弱性がないかコンテナをスキャンする必要があります。 | +コンテナの脆弱性スキャンとOS依存のセキュリティ | イメージをビルドする手順の一部として、既知の脆弱性がないかコンテナをスキャンする必要があります。 | イメージの署名と実施 | コンテナイメージを署名し、コンテナの中身に関する信頼性を維持します。 | 特権ユーザーを許可しない | コンテナの構成時に、コンテナの目的を実行するために必要最低限なOS特権を持ったユーザーをコンテナ内部に作成する方法のドキュメントを参考にしてください。 | From b10e391fc00a8f04880e93f51cb2c44ee20273c1 Mon Sep 17 00:00:00 2001 From: takaf04 Date: Sat, 29 Aug 2020 22:47:49 +0900 Subject: [PATCH 5/8] Update content/ja/docs/concepts/security/overview.md Co-authored-by: Keita Akutsu --- content/ja/docs/concepts/security/overview.md | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git a/content/ja/docs/concepts/security/overview.md b/content/ja/docs/concepts/security/overview.md index 44ca99f5eb..ec18810b2c 100644 --- a/content/ja/docs/concepts/security/overview.md +++ b/content/ja/docs/concepts/security/overview.md @@ -111,7 +111,7 @@ Kubernetes IngressのTLS | https://kubernetes.io/ja/docs/concepts/services-netwo コードに関する懸念事項 | 推奨事項 | -------------------------| -------------- | -TLS経由のアクセスのみ | コードがTCP通信を必要とする場合は、事前にクライアントとのTSLハンドシェイクを実行してください。 いくつかの例外を除いて、全ての通信を暗号化してください。さらに一歩すすめて、サービス間のネットワークトラフィックを暗号化することはよい考えです。これは、サービスを特定した2つの証明書で通信の両端を検証する相互認証、または[mTLS](https://en.wikipedia.org/wiki/Mutual_authentication)して知られているプロセスを通じて実行できます。| +TLS経由のアクセスのみ | コードがTCP通信を必要とする場合は、事前にクライアントとのTLSハンドシェイクを実行してください。 いくつかの例外を除いて、全ての通信を暗号化してください。さらに一歩すすめて、サービス間のネットワークトラフィックを暗号化することはよい考えです。これは、サービスを特定した2つの証明書で通信の両端を検証する相互認証、または[mTLS](https://en.wikipedia.org/wiki/Mutual_authentication)して知られているプロセスを通じて実行できます。| 通信ポートの範囲制限 | この推奨事項は一目瞭然かもしれませんが、可能なかぎり、通信とメトリクス収集に必要不可欠なサービスのポートのみを公開します。 | サードパティに依存するセキュリティ | 既知の脆弱性についてアプリケーションのサードパーティ製ライブラリーを定期的にスキャンすることを推奨します。それぞれの言語は自動でこのチェックを実行するツールを持っています。 | 静的コード解析 | ほとんどの言語ではコードのスニペットを解析して、安全でない可能性のあるコーディングを分析する方法が提供しています。可能な限り、コードベースでスキャンして、よく起こるセキュリティエラーを検出できる自動ツールを使用してチェックを実行すべきです。一部のツールはここで紹介されています。 https://owasp.org/www-community/Source_Code_Analysis_Tools | From cf1146f75f882341f79bb392d4b4a1d82d894f24 Mon Sep 17 00:00:00 2001 From: Takaaki Fujii Date: Sat, 29 Aug 2020 23:00:56 +0900 Subject: [PATCH 6/8] changed trusted computing base --- content/ja/docs/concepts/security/overview.md | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git a/content/ja/docs/concepts/security/overview.md b/content/ja/docs/concepts/security/overview.md index ec18810b2c..0e4f1c21dd 100644 --- a/content/ja/docs/concepts/security/overview.md +++ b/content/ja/docs/concepts/security/overview.md @@ -29,7 +29,7 @@ weight: 10 ## クラウド -いろいろな意味でも、クラウド（または同じ場所に設置されたサーバー、企業のデータセンター）はKubernetesクラスターの[トラステッドコンピューティングベース](https://en.wikipedia.org/wiki/Trusted_computing_base)です。クラウドレイヤーが脆弱な（または脆弱な方法で構成されている）場合、この基盤の上に構築されたコンポーネントが安全であるという保証はありません。各クラウドプロバイダーは、それぞれの環境でワークロードを安全に実行させるためのセキュリティの推奨事項を作成しています。 +いろいろな意味でも、クラウド（または同じ場所に設置されたサーバー、企業のデータセンター）はKubernetesクラスターの[トラステッド・コンピューティング・ベース](https://en.wikipedia.org/wiki/Trusted_computing_base)です。クラウドレイヤーが脆弱な（または脆弱な方法で構成されている）場合、この基盤の上に構築されたコンポーネントが安全であるという保証はありません。各クラウドプロバイダーは、それぞれの環境でワークロードを安全に実行させるためのセキュリティの推奨事項を作成しています。 ### クラウドプロバイダーのセキュリティ From ccc1ca0b700a563530d572c75c8dc3594f7b88e6 Mon Sep 17 00:00:00 2001 From: takaf04 Date: Thu, 3 Sep 2020 23:20:28 +0900 Subject: [PATCH 7/8] Update content/ja/docs/concepts/security/overview.md Co-authored-by: nasa9084 --- content/ja/docs/concepts/security/overview.md | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git a/content/ja/docs/concepts/security/overview.md b/content/ja/docs/concepts/security/overview.md index 0e4f1c21dd..31a3dec3c2 100644 --- a/content/ja/docs/concepts/security/overview.md +++ b/content/ja/docs/concepts/security/overview.md @@ -29,7 +29,7 @@ weight: 10 ## クラウド -いろいろな意味でも、クラウド（または同じ場所に設置されたサーバー、企業のデータセンター）はKubernetesクラスターの[トラステッド・コンピューティング・ベース](https://en.wikipedia.org/wiki/Trusted_computing_base)です。クラウドレイヤーが脆弱な（または脆弱な方法で構成されている）場合、この基盤の上に構築されたコンポーネントが安全であるという保証はありません。各クラウドプロバイダーは、それぞれの環境でワークロードを安全に実行させるためのセキュリティの推奨事項を作成しています。 +いろいろな意味でも、クラウド（または同じ場所に設置されたサーバー、企業のデータセンター）はKubernetesクラスターの[トラステッド・コンピューティング・ベース](https://en.wikipedia.org/wiki/Trusted_computing_base)です。クラウドレイヤーが脆弱な(または脆弱な方法で構成されている)場合、この基盤の上に構築されたコンポーネントが安全であるという保証はありません。各クラウドプロバイダーは、それぞれの環境でワークロードを安全に実行させるためのセキュリティの推奨事項を作成しています。 ### クラウドプロバイダーのセキュリティ From 6c0d39e16c50a5d80514f806bab72fb705a68d4b Mon Sep 17 00:00:00 2001 From: Takaaki Fujii Date: Thu, 3 Sep 2020 23:28:40 +0900 Subject: [PATCH 8/8] checked bracket char --- content/ja/docs/concepts/security/overview.md | 4 ++-- 1 file changed, 2 insertions(+), 2 deletions(-) diff --git a/content/ja/docs/concepts/security/overview.md b/content/ja/docs/concepts/security/overview.md index 31a3dec3c2..b50a4ea1a5 100644 --- a/content/ja/docs/concepts/security/overview.md +++ b/content/ja/docs/concepts/security/overview.md @@ -25,11 +25,11 @@ weight: 10 {{< figure src="/images/docs/4c.png" title="クラウドネイティブセキュリティの４C" >}} -クラウドネイティブセキュリティモデルの各レイヤーは次の最も外側のレイヤー上に構築します。コードレイヤーは、強固な基盤（クラウド、クラスター、コンテナ）セキュリティレイヤーから恩恵を受けます。コードレベルのセキュリティに対応しても基盤レイヤーが低い水準のセキュリティでは守ることができません。 +クラウドネイティブセキュリティモデルの各レイヤーは次の最も外側のレイヤー上に構築します。コードレイヤーは、強固な基盤(クラウド、クラスター、コンテナ)セキュリティレイヤーから恩恵を受けます。コードレベルのセキュリティに対応しても基盤レイヤーが低い水準のセキュリティでは守ることができません。 ## クラウド -いろいろな意味でも、クラウド（または同じ場所に設置されたサーバー、企業のデータセンター）はKubernetesクラスターの[トラステッド・コンピューティング・ベース](https://en.wikipedia.org/wiki/Trusted_computing_base)です。クラウドレイヤーが脆弱な(または脆弱な方法で構成されている)場合、この基盤の上に構築されたコンポーネントが安全であるという保証はありません。各クラウドプロバイダーは、それぞれの環境でワークロードを安全に実行させるためのセキュリティの推奨事項を作成しています。 +いろいろな意味でも、クラウド(または同じ場所に設置されたサーバー、企業のデータセンター)はKubernetesクラスターの[トラステッド・コンピューティング・ベース](https://en.wikipedia.org/wiki/Trusted_computing_base)です。クラウドレイヤーが脆弱な(または脆弱な方法で構成されている)場合、この基盤の上に構築されたコンポーネントが安全であるという保証はありません。各クラウドプロバイダーは、それぞれの環境でワークロードを安全に実行させるためのセキュリティの推奨事項を作成しています。 ### クラウドプロバイダーのセキュリティ