# K8s 安全ポリシー (k8s-security-policies)

> NetworkPolicy、Pod セキュリティ標準、RBAC、OPA Gatekeeper、Istio mTLS でクラスタに多層防御を実装します。

- カテゴリ: [ハードニング](https://www.myskills.tools/ja/categories/hardening/)
- 提供元: コミュニティ · Seth Hobson
- リポジトリ: https://github.com/wshobson/agents/tree/main/plugins/kubernetes-operations/skills/k8s-security-policies (commit 47a5dbc)
- SKILL.md: https://github.com/wshobson/agents/blob/main/plugins/kubernetes-operations/skills/k8s-security-policies/SKILL.md
- インストールコマンド: `npx skills add wshobson/agents --skill k8s-security-policies`
- ライセンス: MIT
- 対応ツール: Claude Code, Codex, Cursor, Copilot, OpenCode
- 権限: read-repo ✓, write-files ✓, shell ✓, network ✓
- 状態: スキャン済み
- ルールスキャンですべてのリスクを検出できるわけではありません。インストール前にこのスキルの SKILL.md を読み、権限を確認してください。
- ⚠ トラブル対応のコマンドには対象クラスタにアクセスできる kubectl の認証情報が必要です。

## 基本ルール

すべてのサービスアカウントに最小権限の RBAC を適用し、Pod セキュリティ標準とネットワークポリシーを重ねて多層防御にします。

## 実行フェーズ

1. **Pod 安全基準** — Namespace のラベルで privileged、baseline、restricted の enforce/audit/warn レベルを設定します。
2. **ネットワーク分離** — まず送受信をすべて拒否し、フロントエンドからバックエンド、DNS など必要な通信だけを許可します。
3. **最小権限 RBAC** — 必要な verb だけを持つ Role/ClusterRole を定義し、RoleBinding でユーザーやサービスアカウントに割り当てます。
4. **Pod とポリシー強制** — 非 root 実行、読み取り専用ルートファイルシステム、全 capability の削除を設定し、OPA Gatekeeper でルールを強制、Istio で mTLS と認可ポリシーを有効にします。
5. **トラブル対応** — NetworkPolicy が効かない場合は CNI の対応を確認して describe し、権限エラーは kubectl auth can-i で実際の権限を確認します。

## 権限の説明（SKILL.md より）

| 機能 | 必要か | 説明 |
|---|---|---|
| ファイル書き込み | 必要 | NetworkPolicy、RBAC、Pod のセキュリティコンテキスト、Gatekeeper、Istio などの YAML マニフェストを作成します。 |
| コマンド実行 | 一部で必要 | トラブル対応で kubectl get、describe、auth can-i などの診断コマンドのみを使います。 |
| 外部通信 | 一部で必要 | kubectl を通じて対象 Kubernetes クラスタの API にのみアクセスします。 |

## SKILL.md のフロントマター（YAML）

```yaml
---
name: k8s-security-policies
description: Implement Kubernetes security policies including NetworkPolicy, PodSecurityPolicy, and RBAC for production-grade security. Use when securing Kubernetes clusters, implementing network isolation, or enforcing pod security standards.
---
```

ホーム: https://www.myskills.tools/ja/ · URL: https://www.myskills.tools/ja/skills/k8s-security-policies/