ハイブリッドノードのネットワーク分離に関するセキュリティレビューテスト

最終更新日: 2026年9月16日

学習ガイド: ハイブリッドノードのネットワーク分離をセキュリティチームとレビューする

1. 「DX とプライベートエンドポイントにより、ネットワーク分離の要件に適合する」という説明を、どのように修正すべきですか？
   • A) DX 接続 ID を割り当てれば十分である。
   • B) 適用されるポリシー、許可される接続、権限とデータ、実装の証拠、承認条件を特定する。
   • C) インターネットに接続できなければ、外部からの管理接続は存在しない。

回答を表示

回答: B

プライベートルーティングによって露出は抑えられますが、顧客のポリシーで管理接続が許可されるかどうかが決まるわけではありません。

2. com.amazonaws.<region>.eks インターフェイスエンドポイントが提供するものはどれですか？
   • A) コントロールプレーンから kubelet への TCP 10250 接続をすべて中継する。
   • B) Kubernetes API RBAC に代わるエンドポイントポリシー。
   • C) DescribeCluster など、AWS EKS 管理 API へのプライベートアクセス。

回答を表示

回答: C

Kubernetes API のプライベートエンドポイントと、AWS EKS 管理 API の PrivateLink エンドポイントは別のものです。

3. ファイアウォールで、ハイブリッドノードが開始した TCP 443 セッションに対する応答だけを許可しています。一般的なルーティング構成で kubectl logs が使う kubelet 接続も許可されますか？
   • A) いいえ。API サーバーからノードの TCP 10250 への、別に開始されるセッションを確認する。
   • B) はい。同じクラスター内のすべてのパケットは、既存のセッションへの応答である。
   • C) はい。DX が自動的にファイアウォールルールを迂回する。

回答を表示

回答: A

ステートフルな戻り通信の許可は、別の TCP セッションの新しいインバウンド接続を許可しません。

4. この記事の「プライベート接続のみ」という前提を確立するには、どの確認が必要ですか？
   • A) endpointPrivateAccess=true だけを確認する。
   • B) プライベートアクセスが有効で、パブリックアクセスが無効であることを確認したうえで、DNS、ルーティング、実際のフローを検証する。
   • C) publicAccessCidrs を絞り込めば、プライベートエンドポイントも同様に制限される。

回答を表示

回答: B

パブリックアクセスとプライベートアクセスの両方が有効な場合、ハイブリッドノードはパブリックアドレスを使用できます。パブリックアクセスの CIDR はプライベートエンドポイントへのアクセスを制御しません。

5. DX 構成における暗号化の説明として正しいものはどれですか？
   • A) DX はすべての Pod のフローをデフォルトで暗号化する。
   • B) プライベート IP があれば、TLS 証明書の検証を省略できる。
   • C) TLS を維持し、別途リンク暗号化が必要なら IPsec/MACsec のサポートと適用範囲を確認する。

回答を表示

回答: C

DX は転送中のデータをデフォルトで暗号化しません。MACsec によるリンク保護も、アプリケーションのエンドツーエンド TLS とは適用範囲が異なります。

6. 業務アプリケーションの Pod がオンプレミスで動作しています。データ境界について正しい説明はどれですか？
   • A) すべての業務データが自動的に AWS にコピーされる。
   • B) すべてのデータが必ずオンプレミスにとどまる。
   • C) 業務データストアとは別に、API オブジェクト、Secret、logs、管理ストリーム、アプリケーションの送信トラフィックを確認する。

回答を表示

回答: C

ノードの配置だけでは、すべてのストレージと転送の場所が決まるわけではありません。Kubernetes の管理操作で機密データを扱うことがあります。

7. ファイアウォール許可リストに EKS ENI のアドレスを使う場合、どのようなプロセスが必要ですか？
   • A) 最初に確認した /32 アドレスを永久に使う。
   • B) クラスターの所有者とアドレス範囲を確認し、ENI 変更後に更新して再テストし、共有サブネットのリスクを記録する。
   • C) AWS のアドレス空間全体を許可する。

回答を表示

回答: B

ENI の IP アドレスは変わることがあります。広い範囲の共有サブネットを許可すると、許可された送信元の範囲にほかのリソースが含まれる場合があります。

8. 「exec を削除したので、管理者を介したデータアクセスはすべて禁止された」という説明で不足している点は何ですか？
   • A) ワークロードの作成/変更、特権/hostPath アクセス、ほかのサブリソース、ホスト管理権限も確認する必要がある。
   • B) クラスター管理者は namespace の境界を越えられない。
   • C) NetworkPolicy によってすべての管理者権限が無効になる。

回答を表示

回答: A

1 つのコマンドを制限しても、ほかのアクセス経路はなくなりません。admission とホストの制御を含め、主体の権限全体を確認してください。

9. セキュリティレビューの証拠について正しい説明はどれですか？
   • A) VPC Flow Logs ですべての TLS ペイロードと exec の入出力を再構築できる。
   • B) CloudTrail があれば Kubernetes の監査ログは不要である。
   • C) ネットワーク記録、Kubernetes 監査、CloudTrail を区別し、合成データを用いて許可/拒否の動作をテストする。

回答を表示

回答: C

それぞれ記録の範囲が異なります。Kubernetes 監査では、ストリームのペイロードすべてを記録するわけではなく、拒否テストやデータ分類の代わりにもなりません。

10. すべての新しいクラウド起点の接続をポリシーで禁止しています。Webhook をクラウドノードに移すか、Hybrid Nodes Gateway を使用すれば自動的に適合しますか？
    • A) どちらの変更でも十分である。
    • B) いいえ。別途必要となる kubelet 接続と、ゲートウェイの実際の双方向経路を含め、設計を再評価する。
    • C) アーキテクチャを PrivateLink と説明すれば十分である。

回答を表示

回答: B

Webhook を移動しても kubelet の要件はなくなりません。Hybrid Nodes Gateway は一方向のセキュリティゲートウェイではありません。ポリシーがサポート対象の接続要件と矛盾する場合は、設計または正式な承認条件を見直してください。