コードとしてのポリシー

第13章 PaCとサービスとしてのインフラ PaCとインフラ・アズ・ア・サービス

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

本書を通じて、システムや成果物における望ましくない変更や振る舞いを防ぐために設計されたPaCソリューションについて書いてきた。 第4章から第10章では、Kubernetesで望ましくない変更が発生するのを防ぐために、さまざまなPaCソリューションをどのように使用できるかを紹介した。これらの同じソリューションの中には、既存のKubernetesリソースを監査したり、バックグラウンドスキャンを実行したり、CLIコマンドを実行して問い合わせたりするものもある。

第11章と第12章では、IaaC向けのPaCソリューションについて、セキュリティやその他の問題をどのように検出し、成果物に発見された問題がIaaSリソースに伝播するのをどのように防止するかについて書いた。これらのPaCソリューションは、コマンドラインで使用したり、オートメーションに組み込んだり、SaaSの一部として提供したりすることができる。

PaCは、 、ドリフトや不要または許可されていないリソース構成などの物理的な問題を検出する手段として、既存のIaaSリソースに日常的に適用されている。しかし、検出するだけでは十分ではない。PaCは、望ましくない、潜在的に危険なIaaSコンフィギュレーションを防止し、さらには修正するためにリアクトすべきである。最低限、PaCは発見された状況と対応策をユーザに通知する必要がある。もしPaCが問題を修正するために使用されないのであれば、PaCは優先順位をつけて改善できる発見を作成すべきである。CSP の IaaS の場合、PaC は、CSP 固有のツールや外部のSIEM ツールを使用して、発見を作成し、発信することができる。

この章では、既存のIaaSリソースにポリシーを適用し、コンプライアンスに反するコンフィギュレーションを検出し、潜在的に対応するために使用される2つのツールを紹介する。Prowlerは、不要なIaaSコンフィギュレーションを検出し、レポートする。Cloud Custodianは、望ましくない状況を検出し、望ましくない振る舞いを修正するために反応する。これら2つのツールを検討する中で、検出のみ、または修復を伴う検出のどちらのソリューションが自社のニーズに最も適しているかを判断する必要がある。

プロウラーを始めよう。

プローラー

Prowlerは Python で記述された OSS プロジェクトであり、 セキュリティスキャンを CSP サービスとの IaaS リソースに対して実行する（執筆時点でサポートされている機能順にリスト）：

• AWS-290チェック

• GCP-73チェック

• Azure-23チェック

Prowler を使用すると、、既存の CSP サービスと IaaS の成果物に対して 評価を実行できる。これらの評価により、セキュリティのベストプラクティスの適用とその逸脱の検出についてユーザに情報が提供される。私が Prowler を使い始めたとき、公式の Prowler ドキュメントが非常に役に立った。

ProwlerはPythonツールなので、pipを使ってMacbook Proにインストールした。 第10章で紹介したテクニックを再利用し、まずProwlerをインストールするためのPython仮想環境を作成し、環境をアクティブにしてから、Pythonベースのツールをインストールした： ...