プロファイル適用性: レベル1 - クラスター / コントロールプレーン
AmazonEKSNetworkingPolicyは、Amazon Elastic Kubernetes Service (EKS) クラスター内でKubernetes NetworkPolicyの適用をネイティブにサポートするAWS管理のアドオンです。これにより、組織はワークロードと外部エンドポイント間のトラフィックを規制する細かいポッドレベルのネットワークアクセス制御を定義および適用できます。CalicoのAWS最適化実装に基づいて構築されたこのアドオンは、EKSコントロールプレーンとシームレスに統合され、手動でCNIプラグインをインストールすることなく、ネットワークセグメンテーションに対する安全でスケーラブルなアプローチを提供します。AmazonEKSNetworkingPolicyを活用することで、企業はクラスターのセキュリティ状態を強化し、ゼロトラストネットワーキングの原則を適用し、組織および規制のアクセス制御基準に準拠することができます。デフォルトでは、クラスター内のすべてのポッド間トラフィックが許可されています。ネットワークポリシーは、ソース間のトラフィックを制限するために使用できるポッドレベルのファイアウォールを作成します。ポッドトラフィックは、ラベルを使用して選択するネットワークポリシーを持つことで制限されます。特定のポッドを選択するネットワークポリシーが名前空間に存在すると、そのポッドはネットワークポリシーで許可されていない接続を拒否します。名前空間内の他のポッドは、ネットワークポリシーで選択されていない限り、すべてのトラフィックを引き続き受け入れます。
AmazonEKSNetworkingPolicyを実装することで、Kubernetes NetworkPoliciesのネイティブでAWS管理の施行を導入し、Amazon EKS環境において重要なセキュリティと運用上の利点を提供します。この機能により、組織は細かい粒度のポッドレベルのネットワークセグメンテーションを実施でき、クラスタ内での内部活動や不正な通信のリスクを軽減します。AWSに最適化されたCalicoエンジンを活用することで、
AmazonEKSNetworkingPolicyは、サードパーティのCNIを手動で展開および管理する複雑さを排除し、Kubernetes標準に沿った一貫したポリシー適用を保証します。このアドオンはゼロトラストネットワーク原則への準拠を強化し、ネットワーク分離を必要とする規制フレームワークをサポートし、クラスタ内通信に対する集中管理と可視性を提供します。最終的に、組織がセキュリティ状態を改善し、運用上の負担を軽減し、現代のコンテナ化された環境でのガバナンスを簡素化するのに役立ちます。
 |
注意初期設定では、ネットワークポリシーは無効になっています。
|
影響
AmazonEKSNetworkingPolicyの実装は、Amazon EKS環境の全体的なセキュリティ、コンプライアンス、および運用効率に大きな影響を与えます。Kubernetes NetworkPoliciesのネイティブな適用を可能にすることで、ポッド間およびポッドと外部との通信を正確に制御し、クラスターの多層防御戦略を強化します。これにより、攻撃領域が縮小され、内部活動のリスクが軽減され、明示的に許可されたトラフィックのみがクラスター内で許可されることが保証されます。コンプライアンスの観点からは、ゼロトラストセキュリティフレームワークやネットワークのセグメンテーションと分離を義務付ける組織のポリシーへの準拠をサポートします。
運用面では、AmazonEKSNetworkingPolicyはAWSが管理するスケーラブルで完全に統合されたソリューションを提供することにより、ネットワークセキュリティの管理を簡素化し、チームが複雑なネットワーク構成ではなくアプリケーションの革新に集中できるようにします。
|
注意ネットワークポリシー適用を有効にすると、ノードの追加リソースが消費されます。具体的には、kube-systemプロセスのメモリ使用量が約128MB増加し、約300ミリコアのCPUが必要になります。
|
監査
次の内容が正しいことを確認
export CLUSTER_NAME=<your cluster name>
aws eks describe-addon --cluster-name ${CLUSTER_NAME} --addon-name vpc-cni --query addon.configurationValues
出力は次のように表示されます:
"{\"enableNetworkPolicy\":\"true\"}"
修復
Amazon VPC CNIが追加され、
vpc-cniがアクティブで、クラスターのアドオンで適切なバージョンにアップグレードされていることを確認してください。アドオンを更新するには、AWS CLIで次のステートメントを実行します。aws eks update-addon --cluster-name $CLUSTER_NAME --addon-name vpc-cni --configuration-values '{"enableNetworkPolicy":"true"}'