GKE のセキュリティに関するベスト プラクティス

このドキュメントでは、 Google Cloudにおける一般的な Google Kubernetes Engine（GKE）アーキテクチャについて説明します。また、GKE ワークロードに適用できるセキュリティのベスト プラクティスも示します。

アーキテクチャ

次の図は、一般的な GKE デプロイの Google Cloud サービスを 示しています。

GKE ワークロードのサンプル アーキテクチャ。

この図式には次のものが含まれています。

  • GKE は、コンテナ化されたアプリを実行できる Kubernetes オープンソース コンテナ オーケストレーション プラットフォームのマネージド実装です。 GKE クラスタには、アプリケーション Pod と Policy Controller が含まれます。Policy Controller を使用すると、Kubernetes クラスタに ポリシーを適用できます。

  • Artifact Registry は、コンテナと アプリの開発とデプロイのプロセスを効率化し、コラボレーションを改善して、 アプリのセキュリティと信頼性を向上させます。

  • Cloud Audit Logs は、ユーザーが 環境で行った操作を追跡し、トラブルシューティング、監査、インシデント対応の機能を強化します。

  • Cloud Billing のダッシュボードとアラートを使用すると、GKE ワークロードの使用状況と課金を確認できます。

  • Cloud Build を使用すると、 にサーバーレス CI/CD プラットフォームをビルド、テスト、デプロイできます Google Cloud。

  • Cloud Identity は、 の ID、アクセス、 アプリケーション、管理を統合します Google Cloud。

  • Cloud Key Management Service は、 暗号鍵を作成して管理します。

  • Cloud Run functions は、タスクの自動化、ジョブのトリガー、他の サービスとの統合、イベント ドリブン開発パイプラインの構築を行います。

  • Cloud Service Mesh を使用すると、Kubernetes Service が相互に通信できます。

  • Cloud Storage は、 コンテナとアプリの実行に必要なデータを保存します。

  • Cloud DNS は、 ドメインの登録、管理、提供を行います。

  • Identity and Access Management（IAM） は、GKE ワークロード リソースに対して 特定の操作（作成、編集、削除など）を 実行できるユーザーを制御します。

  • 組織のポリシー サービス は、 Google Cloud 環境全体でポリシーを一元的に管理し、適用します。組織のポリシーは、組織内のプロジェクトとリソース全体で一貫した構成とセキュリティ コンプライアンスを確保するのに役立ちます。

  • Pub/Sub を使用すると、効率的な通信 とワークフロー内の自動化を実現できます。

  • Resource Manager を使用すると、GKE ワークロードの論理コンポーネントをグループ化して管理できます。

  • Secret Manager を使用すると、GKE プロジェクトで使用されるセンシティブ データと認証情報を保護できます。

  • Security Command Center を使用すると、クラウド組織、GKE ワークロード、 に保存するデータを保護できます Google Cloud。Security Command Center には次の機能があります。

    • セキュリティの一元管理
    • 脅威の検出とインシデント対応
    • セキュリティの自動評価
    • コンプライアンスと規制に関するレポート
    • セキュリティに関する推奨事項とベスト プラクティス

  • Virtual Private Cloud（VPC）は、安全な環境で GKE リソースをインターネットから隔離します。このネットワーク構成は、センシティブ データとワークロードを不正アクセスや潜在的なサイバー攻撃から保護するのに役立ちます。

  • Cloud VPN または Cloud Interconnect を使用すると、オンプレミス インフラストラクチャと GKE 環境の間に安全なネットワーク接続を確立できます。 Cloud VPN または Cloud Interconnect を使用すると、プライベート ネットワークと Google Cloud リソース間のデータ 転送と通信をシームレスに行うことができます。この統合は、モデル トレーニングのためにオンプレミス データにアクセスしたり、推論のためにオンプレミス リソースにモデルをデプロイするシナリオで検討してください。

GKE ワークロードのベスト プラクティス

このセクションでは、GKE を使用するワークロードのベスト プラクティスへのリンクを示します。

次のステップ