クラスタ関連リソースへのセキュリティー属性の追加とZPRポリシーの適用

Kubernetes EngineでZero Trust Packet Routing (ZPR)を使用する前に、次の前提条件および制限を確認してください:

• ZPRセキュリティ属性は、管理対象ノード・プールおよび自己管理ノードでサポートされますが、仮想ノード・プールではサポートされません。
• クラスタの作成時および既存のクラスタの更新時に、クラスタのKubernetes APIエンドポイントが独自のVCN (VCNネイティブ・クラスタ)に統合されている場合、ZPRセキュリティ属性がサポートされます。Kubernetes APIエンドポイントが独自のVCNに統合されていないクラスタでは、ZPRセキュリティ属性を使用できません。VCNネイティブ・クラスタへの移行を参照してください。
• Kubernetesクラスタは、ポッド・ネットワーキング用のOCI VCNネイティブ・ポッド・ネットワーキングCNIプラグインを使用する必要があります。ZPRセキュリティ属性は、flannel CNIプラグインを使用するクラスタではサポートされていません。また、OCI VCNネイティブ・ポッド・ネットワーキングCNIプラグインのバージョンでは、ZPRセキュリティ属性をサポートする必要があります。アドオン・バージョンでZPRセキュリティ属性がサポートされていない場合、Kubernetes EngineはZPRを使用できないか、コンピュート・インスタンスが作成される前にノードの起動に失敗します。
• KubernetesクラスタでKubernetesバージョン1.32以上が実行されている必要があります。
• OKEリソースに割り当てるZPRセキュリティ属性を含む適切なセキュリティ属性ネームスペースがすでに存在している必要があります。セキュリティ属性ネームスペースおよびセキュリティ属性は、Zero Trust Packet Routing (ZPR)サービスで作成および管理します。セキュリティ属性ネームスペースの作成およびセキュリティ属性の作成を参照してください。
• 必要なトラフィックを許可する適切なZPRポリシーがすでに存在している必要があります。2つのリソースに同じセキュリティ属性を割り当てても、自動的には通信できません。必要な通信パスを許可するZPRポリシーを作成する必要があります。ZPRポリシーは、Zero Trust Packet Routing (ZPR)サービスで作成および管理します(Creating a ZPR Policyを参照)。
• 必要なZPRセキュリティ属性ネームスペースを使用するための適切なIAM権限が存在する必要があります。OCI IAMは、Kubernetes APIエンドポイント、ノードVNIC、ロード・バランサなどのクラスタ関連リソースのセキュリティ属性へのアクセスを強制します。詳細は、必要なIAMポリシを参照してください

• ロード・バランサ、ネットワーク・ロード・バランサまたはポッドVNICにセキュリティ属性を割り当てる場合、必要なIAMポリシーによって、それらのリソースをプロビジョニングするKubernetes Engineコンポーネントも、指定されたセキュリティ属性をアタッチできるようにする必要があります。たとえば、Cloud Controller ManagerおよびOCIネイティブ・イングレス・コントローラには、リクエストされたセキュリティ属性を、次のような作成したリソースにアタッチするための適切なIAMポリシーが必要です:

  Allow any-user to use security-attribute-namespace in tenancy where request.principal.type = 'cluster'

  詳細は、必要なIAMポリシを参照してください

• ZPRは、Kubernetesネットワーク・ポリシーを置き換えるのではなく、同じワーカー・ノード上のポッド間のトラフィックを強制しません。同じワーカー・ノード上のポッド間のトラフィックなど、クラスタ内のポッド間トラフィックを制御するには、Kubernetesネットワーク・ポリシーを使用します。
• ZPRセキュリティ属性は、File Storageサービス・ファイル・システムで永続ボリューム要求をプロビジョニングするときにサポートされますが、Block Volumeサービス・ブロック・ボリュームではサポートされません。

クラスタを作成するとき、または既存のクラスタを更新することによって、Kubernetes APIエンドポイントにZPRセキュリティ属性を追加できます。クラスタ・エンドポイント・セキュリティ属性は、Kubernetes APIエンドポイントにのみ適用されます。これらのセキュリティ属性は、ワーカー・ノード、ポッド、ロード・バランサまたはその他のクラスタ関連リソースには適用されません。

Kubernetes APIエンドポイントにセキュリティ属性を追加する前に、認可されたクライアントがエンドポイントにアクセスすることをZPRポリシーで許可していることを確認してください。たとえば、kubectlを使用するクライアントからのアクセスを許可するZPRポリシーを作成します。

管理対象ノード・プール内の管理対象ノードをバックアップするコンピュート・インスタンスのプライマリVNICにZPRセキュリティ属性を指定できます。これらのセキュリティ属性は、管理対象ノード・プールの作成時、または既存の管理対象ノード・プールの更新時に指定します。プライマリVNICセキュリティ属性は、ノード・プールで起動する新しいコンピュート・インスタンスに適用されます。これらのセキュリティ属性は、kubeletトラフィック、Oracle Cloud Agentトラフィック、ホスト・ネットワークを使用するポッドからのトラフィックなどのノード・レベルのトラフィックに使用されます。これらのセキュリティー属性は、ポッドトラフィックに使用されるセカンダリVNIC、またはその他のクラスタ関連リソースには適用されません。

管理対象ノード・プールのセキュリティ属性を更新すると、変更は新しいワーカー・ノードにのみ適用されます。既存のワーカー・ノードとそのVNICは更新されません。更新されたセキュリティ属性を既存のワークロードに適用するには、ノード・プールのワーカー・ノードを置換します(ワーカー・ノードの終了および置換を参照)。ブート・ボリュームの置換では、更新されたノード・プール・セキュリティ属性は適用されないことに注意してください。ワーカー・ノードを置き換える必要があります。

管理対象ノード・プール内の管理対象ノードをバックアップするコンピュート・インスタンスのセカンダリVNICにZPRセキュリティ属性を指定できます。これらのセキュリティ属性は、管理対象ノード・プールの作成時、または既存の管理対象ノード・プールの更新時に指定します。OCI VCNネイティブ・ポッド・ネットワーキングCNIプラグインを使用するクラスタでは、セカンダリVNICがポッド・トラフィックに使用されます。これらのセキュリティー属性は、ノードレベルのトラフィックに使用されるプライマリVNIC、またはその他のクラスタ関連リソースには適用されません。

管理対象ノード・プールに複数のセカンダリVNICを定義する場合は、ノード・プール内のすべてのセカンダリVNICに同じセキュリティ属性を指定する必要があります。

セキュリティー属性をセカンダリVNICに割り当てる前に、ワークロードの配置を計画することをお勧めします。Kubernetes Engineはノード・プール・レベルでポッド・セキュリティ属性を適用するため、異なるセキュリティ・プロファイルを必要とするワークロードは異なるノード・プールで実行する必要があります。

管理対象ノード・プールのセキュリティ属性を更新すると、変更は新しいワーカー・ノードにのみ適用されます。既存のワーカー・ノードとそのVNICは更新されません。更新されたセキュリティ属性を既存のワークロードに適用するには、ノード・プールのワーカー・ノードを置換します(ワーカー・ノードの終了および置換を参照)。ブート・ボリュームの置換では、更新されたノード・プール・セキュリティ属性は適用されないことに注意してください。ワーカー・ノードを置き換える必要があります。

oci.oraclecloud.com/security-attributesアノテーションを使用して、Kubernetes Engineがロード・バランサおよびLoadBalancerタイプのサービスに対してプロビジョニングするネットワーク・ロード・バランサに追加するZPRセキュリティ属性を指定できます。詳細は、ロード・バランサおよびネットワーク・ロード・バランサのZPRセキュリティ属性の指定を参照してください。

IngressClassマニフェストでoci-native-ingress.oraclecloud.com/security-attributesアノテーションを使用して、OCIネイティブ・イングレス・コントローラがプロビジョニングするロード・バランサに追加するZPRセキュリティ属性を指定できます。詳細は、Specifying ZPR Security Attributesを参照してください。

StorageClassマニフェストのsecurityAttributesパラメータを使用して、CSIボリューム・プラグインが作成するファイル・ストレージ・サービスのマウント・ターゲットに追加するZPRセキュリティ属性を指定できます。詳細は、ファイル・ストレージ・サービスでのPVCのプロビジョニングを参照してください。