[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/kubernetes-privilege-escalation/) * [Japanese](https://unit42.paloaltonetworks.com/ja/kubernetes-privilege-escalation/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ") * [ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/ "ラーニング ハブ") [ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/) # 一般的なKubernetesプラットフォームでのRBACにもとづく特権エスカレーション緩和 ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 2 分で読めます Related Products [![Prisma Cloud icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/prisma_RGB_logo_Icon_Color.png)Prisma Cloud](https://unit42.paloaltonetworks.com/ja/product-category/prisma-cloud-ja/ "Prisma Cloud") * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Yuval Avrahami](https://unit42.paloaltonetworks.com/ja/author/yuval-avrahami/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2023年1月27日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/) * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [Cloud Security](https://unit42.paloaltonetworks.com/ja/tag/cloud-security-ja/) * [Container escape](https://unit42.paloaltonetworks.com/ja/tag/container-escape-ja/) * [Containers](https://unit42.paloaltonetworks.com/ja/tag/containers-ja/) * [Kubernetes](https://unit42.paloaltonetworks.com/ja/tag/kubernetes-ja/) * [Privilege escalation](https://unit42.paloaltonetworks.com/ja/tag/privilege-escalation-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/kubernetes-privilege-escalation/?pdf=download&lg=ja&_wpnonce=48697d1bdd "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/kubernetes-privilege-escalation/?pdf=print&lg=ja&_wpnonce=48697d1bdd "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=一般的なKubernetesプラットフォームでのRBACにもとづく特権エスカレーション緩和&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fkubernetes-privilege-escalation%2F "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fkubernetes-privilege-escalation%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fkubernetes-privilege-escalation%2F&title=一般的なKubernetesプラットフォームでのRBACにもとづく特権エスカレーション緩和 "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fkubernetes-privilege-escalation%2F&text=一般的なKubernetesプラットフォームでのRBACにもとづく特権エスカレーション緩和 "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fkubernetes-privilege-escalation%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=一般的なKubernetesプラットフォームでのRBACにもとづく特権エスカレーション緩和%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fkubernetes-privilege-escalation%2F "Share in Mastodon") ## 概要 Prisma CloudチームとUnit 42チームは2022年5月に一般的なKubernetesプラットフォームにおける[強力なクレデンシャルの使用に関する調査レポート](https://www.paloaltonetworks.com/resources/whitepapers/kubernetes-privilege-escalation-excessive-permissions-in-popular-platforms)を公開しました。同レポートは、ほとんどのプラットフォームが特権的なインフラコンポーネントをインストールしており、それらが特権昇格に悪用されるおそれがあることを明らかにしています。本稿公開時点で、同レポートで解説したすべてのプラットフォームが、ノードから管理者への特権昇格問題に対応済みであるとをお伝えできることを嬉しく思います。ただし、サードパーティのアドオンがこの問題をふたたび持ち込む可能性はあります。 [KubeCon EUとBlackHat USA](https://www.youtube.com/watch?v=PGsJ4QTlKlQ)で私たちが発表した研究では、「半数のプラットフォームにおいて、全ノードが管理者と同等のクレデンシャルをホストしていることが原因で、いずれかのコンテナをエスケープすればそれがクラスター全体の侵害につながりえた」ということが判明しました。同レポートで解説したプラットフォームの大半が、デフォルトでインフラを非特権化しました。またある1社はオプションのアドオンでインフラを非特権化しました。 権限の剥奪は複雑なことが多く、その解決には決して小さくはない労力が求められることは承知しています。Azure Kubernetes Service (AKS)、AWS Elastic Kubernetes Service (EKS)、Google Kubernetes Engine (GKE)、Red Hat OpenShift Container Platform、Antrea、Calicoの各社がアクセス制御強化に向けて取り組んでくださっていることにこの場を借りて感謝申し上げます。 本稿では、私たちの研究について簡単に振りかえった上で、プラットフォーム各社がKubernetesの特権昇格と強力な権限への対処に向けて実装したさまざまな緩和策を取り上げます。「自社のクラスターのロールベース アクセス コントロール(RBAC) ポスチャー(態勢)を評価してみたい」と思われた読者の皆さんは、Kubernetes用のオープンソースRBACアナライザー、[rbac-police](https://github.com/PaloAltoNetworks/rbac-police)をお試しください。 [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud)をお使いのお客様は、[Cloud Code Security](https://www.paloaltonetworks.com/prisma/cloud/cloud-code-security)(CCS)モジュールを介し、過剰なRBAC権限をはじめとするKubernetesの設定ミスを、クラスターへのデプロイ前に捕捉できます。ランタイムフェーズでは、組み込みの[Kubernetes用アドミッション コントローラー](https://docs.paloaltonetworks.com/prisma/prisma-cloud/21-04/prisma-cloud-compute-edition-admin/access_control/open_policy_agent)を使って、Kubernetesの特権昇格を含めたクラスター内の疑わしいアクティビティに対してアラートを発報するポリシーを適用できます。 | **関連するUnit 42のトピック** | [Privilege Escalation](https://unit42.paloaltonetworks.jp/tag/privilege-escalation-ja/), [Cloud Security](https://unit42.paloaltonetworks.jp/tag/cloud-security-ja/), [Kubernetes](https://unit42.paloaltonetworks.jp/tag/kubernetes-ja/), [Containers](https://unit42.paloaltonetworks.jp/tag/containers-ja/), [Container Escape](https://unit42.paloaltonetworks.jp/tag/container-escape-ja/) | |----------------------|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| ## **振り返り: 強力な権限はいたるところに** Kubernetesのマネージドサービス、ディストリビューション、アドオンは、クラスターに一連のシステムPodをインストールすることにより、インフラの管理やネットワーク・DNS・ロギングなどの中核機能の有効化を行っています。一般にこれらのシステムPodは[DaemonSet](https://kubernetes.io/docs/concepts/workloads/controllers/daemonset/)経由でクラスター内の各ノードにデプロイされます。 これらDaemonSetの権限付与が緩いと、強力なクレデンシャルを不用意にクラスター全体に拡散してしまう可能性があります。悪用されれば特権昇格につながりかねません(図1)。 ![画像1は脅威アクターがDaemonSetのクレデンシャルを悪用してクラスター内に侵害を広げる様子を示した図です。この図にはエスケープされたコンテナ、APIサーバー、Podが表示されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126770-1-ja.png) 図1. コンテナをエスケープした攻撃者は強力なDaemonSetのクレデンシャルを悪用しクラスター内に侵害を広げる 強力なDaemonSetの拡散状況を把握するため、私たちは利用者数の多いKubernetesプラットフォーム(マネージドサービス、ディストリビューション、コンテナー ネットワーク インターフェース(CNI))を分析し、特権的なインフラコンポーネントを特定しました。この結果、**ほとんどのプラットフォームが強力なDaemonSetを実行しており**、クラスターの各ノードに特権的なクレデンシャルをインストールしていることがわかりました。 半数のプラットフォームでは、これらのクレデンシャルが管理者と同等の権限を持ち、どれか1つでもコンテナがエスケープされれば、クラスター全体が侵害されるおそれがありました(図2)。 ![画像2は、単一のコンテナエスケープからクラスターの完全乗っ取りに至るプラットフォームの割合を示した円グラフです。使用されたクレデンシャルの50％は管理者と同等の権限を持つものでした。残りはクラスターの完全乗っ取りにはなんらかの前提条件が必要なプラットフォーム、コンテナーエスケープされてもクラスター完全乗っ取りには至らないプラットフォームに分かれました。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126770-2-ja.png) 図2. コンテナエスケープがクラスターの完全乗っ取りにつながるプラットフォームの割合 強力なDaemonSetが一般的になった理由は主に3つ考えられます。 1. **歴史的にKubernetesクラスターはデフォルトでは安全を確保する設定にされてこなかった** Kubeletのような重要コンポーネントに未認証でアクセスできる環境では、最小特権のRBACポスチャー保持は優先事項ではありませんでした。このころ作られたインフラが、強力なDaemonSetの前例となっています。 2. **Kubernetesの権限のなかには単純に緩すぎるものがある** つまり多くのオペレーションを許可していということです。「必要だがセンシティブなオペレーション実行能力をあるサービスアカウントに与えること」が、ほかの潜在的に有害なオペレーションを実行する権限を暗黙のうちに与えてしまうことがよくあります。RBACはこういったユースケースの多くに適したモデルではありませんし、本人の何らかの属性とリソースの何らかの属性を照合する属性ベースのアクセス制御モデルの方が理にかなう場合が多いでしょう。 3. **無害に見えて実は強力な権限もある** ある権限が無害だと考える人がいるならその付与をためらうこともないでしょう。たとえば、Podのステータス更新能力を付与した場合、ReplicaSetの一部であるPodの削除能力も暗黙裡に付与したことになります。 ## 回避・緩和策 強力なDaemonSetを特定した後、私たちはそれぞれのプラットフォームに連絡を取って緩和策について討議し始めました。各チームからは、この問題についての理解と、解決にむけた非常に前向きな応答がありました。ここ数カ月で緩和策の開発、テスト、デプロイを行いました。そして本稿執筆現在、私たちが確認した特権昇格攻撃はすべて解決済みです。 プラットフォーム各社に取り組んでいただいたおかげで、ノードがデフォルトで管理者ではなくなり、Kubernetesをめぐるセキュリティ情勢はより安全なものとなっています。以下のセクションは、各プラットフォームが自社の製品で確認された強力なDaemonSetの問題に対応するために行ったさまざまなアプローチに焦点を当てて解説します。 ## **権限を剥奪する** リスクのある権限設定に対処する最も簡単な方法はその権限を剥奪することです。多くのプラットフォームが、明示的には必要とされないような、特定のリスクのある権限を特定して削除しました。一部の権限は、一定の[resourceNames](https://kubernetes.io/docs/reference/access-authn-authz/rbac/#referring-to-resources)やサブリソースにスコープを絞ることで安全性を確保しました。 Ciliumの場合、DaemonSetが正しく動作するのに「Podの削除」権限は明示的には必要でないことを確認して[これを剥奪](https://github.com/cilium/cilium/pull/19053)しました。Openshiftの場合、Software-Defined Network(sdn) DaemonSetから[「ノードの更新」権限を剥奪](https://github.com/openshift/cluster-network-operator/pull/1350)しました。この変更は、この権限に依存する機能を非特権の実装に置き換えることで実現しています。 ## アドミッション コントロールによる制限 DaemonSetのよくある使用例として、各DaemonSetのPodがローカルにノードを管理するローカルノード管理が挙げられます。残念ながらKubernetesは、あるDaemonSetのPodの権限スコープをそのローカルノードのみに絞ることをサポートしていません。したがって、DaemonSet内のすべてのPodは、自身のローカルノードだけでなく全ノードの管理を認可される必要があります。これにより、あるノードを乗っ取った攻撃者は、ローカルのDaemonSet Podのクレデンシャルを悪用し、ほかのノードを侵害して、クラスター内に侵害を広げられます。 Azure Kubernetes Service (AKS)とAWS Elastic Kubernetes Service (EKS)はいずれも、ローカルノードの更新を必要とするPodを持つDaemonSetを実行していました。残念ながらこの権限の付与のためにKubernetesに組み込まれた唯一の方法は、DaemonSetの全Podにクラスターの全ノードの更新を許可することでした。 あるノードを侵害した攻撃者は、DaemonSetのトークンを悪用してほかのノードに[taint](https://kubernetes.io/ja/docs/concepts/scheduling-eviction/taint-and-toleration/)を設定して、Podを盗めるようになります。この攻撃は図3に示すような3段階で行われます。 1. クラスター内の感染ノード以外の全ノードにNoScheduleのtaintを追加し、感染ノードがクラスター内で唯一利用可能なノードとなるようにします。 2. 標的のPodをホストしているノードにNoExecuteのtaintを追加し、Kubernetesに強制的にこのノードを退避させて中のPodを削除させます。 3. Kubernetesは標的のPodを再作成します。これでクラスター内で唯一利用可能なノード(侵害済みノード)にのみそのPodをスケジュールできるようになりました。 ![画像3は脅威アクターがあるノードを侵害し、そのほかのノードにtaintを追加する様子を3段階で表した図です。手順1(左)は、アクターがノード内のPodにNoScheduleのtaintを追加しています。手順2(右)では標的のPodをホストしているノードにNoExecuteのtaintを追加しています。手順3(中央)で、Kubernetesは標的ノードを退避させて中のPodを削除しています。Kubernetesは標的のPodを再作成します。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126770-3-ja-1.png) 図3. DaemonSetの「ノード更新」権限を悪用し、taintの操作によりPodを盗む AKSとEKSのDaemonSetには「ノードを更新する」権限が必要なので、単純な権限の剥奪は有効な解決策になりませんでした。代わりに両プラットフォームともカスタムの[ValidatingAdmissionWebhook](https://kubernetes.io/docs/reference/access-authn-authz/extensible-admission-controllers/#what-are-admission-webhooks)を使ってこの攻撃を緩和しました。 ### EKSの場合: オペレーションによる制限 EKSの場合、aws-node DaemonSetは特定ノードの属性の更新は必要でしたが、taintの更新は必要ありませんでした。したがってaws-nodeのPodが意図していないノードへのtaint追加を試みた場合、それは攻撃である可能性が高いということになります。そこでEKSチームはValidatingAdmissionWebhookを実装しました。このwebhookdはノード更新リクエストをインターセプトし、aws-nodeサービスアカウントから発行されたtaint操作の試みをブロックします。その様子は下の図4で確認できます。 ![画像4は、EKSがaws-nodeのポッドによるノードへのtaint追加をブロックした様子を示したコード行のスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126770-4.png) 図4. EKSはaws-node Podがノードにtaintを設定するのをブロックしている ### AKSの場合: ターゲットによる制限 AKSの場合、もう少し状況が複雑でした。AKSのcloud-node-manager DaemonSetはノードにtaintを設定することがあるため、taintの完全なブロックは有効な選択肢になりませんでした。 正確にいえば、各cloud-node-managerは自身をホストするノードのtaint設定のみを必要としていました。AKSはこれを利用して攻撃を緩和しました。AKSでは、ノードの更新リクエストをインターセプトし、どのcloud-node-manager Podがリクエストを発行したかを特定するValidatingAdmissionWebhookを実装しました。 cloud-node-manager Podが自身をホストしているノード以外のノードを更新しようとした場合、そのリクエストは拒否されます。攻撃者がcloud-node-manager Podのクレデンシャルを悪用しようとすると拒否されます(図5)。 ![画像5はcloud-node-manager Podのクレデンシャルを悪用しようとする攻撃者の試みを拒否した様子を表すスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126770-5.png) 図5. AKSはcloud-node-manager Podが自身をホストしているノード以外のノードにtaintを設定するのを防ぐ これが正しく機能するには、Admission Webhookが「リクエストを発行したサービスアカウントはどれか」だけでなく、「リクエストを発行したPodはどれか」についても知る必要があります。それを可能にしたのが最近行われたKubernetesの拡張機能、[バインド サービス アカウント トークン (Bound Service Account Token)](https://github.com/kubernetes/enhancements/blob/master/keps/sig-auth/1205-bound-service-account-tokens/README.md#summary)です。 従来のトークンは、そのトークンが表しているサービスアカウントのみを参照していました。現在のPodのサービス アカウント トークンには、トークンの発行先Podを指定するクレームも含まれています。アドミッション コントローラーはそのクレームを使って、あるリクエストがどのPodから発行されたものかを識別できます。 このWebhookは、バインド トークンでDaemonSet Podのノードローカルな権限付与が可能になることを示したよい例です。将来的にはKubernetesがこの機能を組み込みサポートしてカスタムでAdmissionWebhookを書く必要はなくなるかもしれません。 ## **特権的な機能をよそに移す** 特権的なタスクを実行するには、クラスター内の誰かが強力なクレデンシャルを持たねばなりません。DaemonSetのクレデンシャルはあちこちに分散しているので、特権的なタスクの実行に最適とはいえません。いくつかのプラットフォームでは、DaemonSetではないPodに特権的なタスクを実行させたり、コントロール プレーン コントローラーを使うことで、強力なDaemonSetの問題に対応しました。そうしておけばDaemonSetのもつ強力な権限を剥奪できます。 たとえば、Dataplane v2を実行しているGKEクラスターでは、anted DaemonSetに特定タスク用のPodとノードの更新権限が与えられていました。これらの権限はリスクが高く、数々の特権昇格攻撃に悪用される可能性があります。Podやノードの更新をコントロールプレーンに任せることで、GKEはanted DaemonSetからこれらの強力な権限を剥奪できました。 ## **推奨される対策** 基盤となるKubernetesインフラが適切な権限の境界を維持するよう構成されている場合でも、設定ミスで権限を過剰に付与されたアドオンやアプリケーションがあれば、それらはクラスターに同じ攻撃経路を再導入してしまう可能性があります。以下は、クラスターのRBACポスチャーを強化し、クラスター内の特特権昇格を防ぐベストプラクティスです。 * 最小特権の原則に従う。明示的に必要な権限のみを付与する。可能なかぎり、権限を特定のネームスペース、リソース名、またはサブリソースに絞る。 * Kubernetes Infrastructure-as-Code (IaC) の継続的インテグレーション/継続的デリバリー(CI/CD)パイプラインにガードレールを追加する。これにより開発者が意図せずサービスアカウントに強力な権限を付与するのを防げる。オープンソースIaCスキャナ [Checkov](https://www.checkov.io/)は、過剰なRBAC権限を警告する[Kubernetesチェックを多数サポートして](https://docs.bridgecrew.io/docs/ensure-roles-and-clusterroles-that-grant-permissions-to-bind-rolebindings-or-clusterrolebindings-are-minimized)いる(図6)。 * RBACポスチャーを定期的に見直す。これにより潜在的脅威や過度に強力なアイデンティティを特定できる。信頼度の低いPodや公開されたPodに強力な権限が付与されないよう確認する。[rbac-police](https://github.com/PaloAltoNetworks/rbac-police)のような自動化ツールの利用を検討する。 * DaemonSetに特権的なクレデンシャルを必要とするタスクを割り当てないようにする。この場合、コントロール プレーン コントローラーやデプロイメントが望ましい。 * 異なる信頼レベルを必要とするリソースやワークロードは異なるネームスペースに隔離する。 * RBACで表現できない権限については、[アドミッション コントロール](https://kubernetes.io/docs/reference/access-authn-authz/extensible-admission-controllers/#admission-webhooks)を使ってきめ細かい権限の付与を実装する。可能なら安全なオペレーションの許可リストを実装し、強力なサービスアカウントからの予期せぬ悪意のあるリクエストをブロックする。 * [TaintやToleration](https://kubernetes.io/ja/docs/concepts/scheduling-eviction/taint-and-toleration/)、[Nodeアフィニティ](https://kubernetes.io/docs/concepts/scheduling-eviction/assign-pod-node/#node-affinity)ルール、[Podアンチアフィニティ](https://kubernetes.io/docs/concepts/scheduling-eviction/assign-pod-node/#types-of-inter-pod-affinity-and-anti-affinity)ルールなどのスケジューリング制約を使用し、信頼できないノードや一般公開されたノードから強力なPodを隔離する。 ![画像6は、クラウドCLインフラスキャナーのChekhovが、強力な権限を設定したClusterRoleに警告を発しているところを示したスクリーンショットです。過剰な権限を付与されたロールについて警告しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126770-6.png) 図6: 強力な権限を設定されたClusterRoleに関するCheckovのアラート 業界のベストプラクティスを導入する際は、自社のクラスターの脅威モデルを考慮する必要があります。Kubernetesはプラットフォームを構築するためのプラットフォームですので、クラスターの脅威モデルはそのアーキテクチャによって大きく異なることになります。上記のガイドラインはクラスター内の特権昇格問題に対応するものです。 信頼レベルの異なるクラスターを構築している場合、以下の機能を使用しているとクラスター内の特権が大きな脅威となります。 * 悪意のあるテナントやワークロードをホストしている可能性のあるマルチテナントのクラスター * 単一クラスター上で異なるチームが作業している * 大規模クラスターに複数のアプリケーションを展開している 一方、単一のアプリケーション専用の小規模なクラスターを運用している場合は、そのクラスター同士の隔離や外部サービスからの隔離に投資する方が理にかなっています。クラスターが異なる信頼レベルをホストしていなければ、クラスター内での特権昇格を防ぐことは最優先事項ではないはずです。それでも、特権昇格攻撃の**検出**は侵害の特定に役立ちます。 ## **結論** Kubernetesでの安全なRBACポスチャー維持はプラットフォームにとってもユーザーにとっても複雑です。主要プラットフォームがハードニングしたデフォルトを強制すれば、Kubenetesユーザーは安全なアーキテクチャを採用しやすくなります。 本稿で解説したプラットフォーム各社が、非特権のインフラという難題に正面から取り組み、クリエイティブな実装を考え出し、解決してくださったことに感謝申し上げます。 Kubernetesのユーザーやプラットフォームには、CI/CDパイプラインにおけるRBACの設定ミス検出を[Checkov](https://www.checkov.io/)や[rbac-police](https://github.com/PaloAltoNetworks/rbac-police)などのツールを使って自動化することをお勧めします。マネージドサービスについては、インフラのコンポーネントがリスクの高い権限を必要とする場合でも、ValidatingAdmissionWebhookを使うことで誤った利用を防げるかもしれません。 詳細については、弊社のレポート『[Kubernetes Privilege Escalation: Excessive Permissions in Popular Platforms](https://www.paloaltonetworks.com/resources/whitepapers/kubernetes-privilege-escalation-excessive-permissions-in-popular-platforms)』をご一読ください。[Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud)をお使いのお客様には同レポートの「Prisma Cloud」のセクションをお読みいただいて、Prismaの[Kubernetes IaCスキャン機能](https://www.paloaltonetworks.com/prisma/cloud/cloud-code-security)や[Kubernetes用組み込みアドミッション コントローラー](https://docs.paloaltonetworks.com/prisma/prisma-cloud/21-04/prisma-cloud-compute-edition-admin/access_control/open_policy_agent)がKubernetesのアイデンティティ保護という課題にどのように取り組んでいるかを知っていただければと思います。 ## **追加リソース** * [Kubernetes Privilege Escalation: Excessive Permissions in Popular Platforms](https://www.paloaltonetworks.com/resources/whitepapers/kubernetes-privilege-escalation-excessive-permissions-in-popular-platforms) * [Trampoline Pods: Node to Admin PrivEsc Built Into Popular K8s Platforms](https://www.youtube.com/watch?v=PGsJ4QTlKlQ) * [Privileged pod escalations in Kubernetes and GKE](https://security.googleblog.com/2022/05/privileged-pod-escalations-in.html) * [Checkov](https://www.checkov.io/) * [rbac-police](https://github.com/PaloAltoNetworks/rbac-police) トップに戻る ### タグ * [Cloud Security](https://unit42.paloaltonetworks.com/ja/tag/cloud-security-ja/ "Cloud Security") * [Container escape](https://unit42.paloaltonetworks.com/ja/tag/container-escape-ja/ "container escape") * [Containers](https://unit42.paloaltonetworks.com/ja/tag/containers-ja/ "Containers") * [Kubernetes](https://unit42.paloaltonetworks.com/ja/tag/kubernetes-ja/ "Kubernetes") * [Privilege escalation](https://unit42.paloaltonetworks.com/ja/tag/privilege-escalation-ja/ "privilege escalation") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:Realtek SDKの脆弱性攻撃 IoTサプライチェーンの脅威を浮き彫りに(CVE-2021-35394)](https://unit42.paloaltonetworks.com/ja/realtek-sdk-vulnerability/ "Realtek SDKの脆弱性攻撃 IoTサプライチェーンの脅威を浮き彫りに(CVE-2021-35394)") ### 目次 * ### 関連記事 * [Copy Fail:ここ数年で最も深刻なLinuxの脅威について必要な知識](https://unit42.paloaltonetworks.com/ja/cve-2026-31431-copy-fail/ "article - table of contents") * [SCADAシステムに存在する特権ファイルシステムの脆弱性](https://unit42.paloaltonetworks.com/ja/iconics-suite-cve-2025-0921/ "article - table of contents") * [「Shai-Hulud」ワームがサプライチェーン攻撃でnpmエコシステムを侵害 （11月26日更新）](https://unit42.paloaltonetworks.com/ja/npm-supply-chain-attack/ "article - table of contents") ## 関連項目 脅威リサーチ リソース ![Pictorial representation of autonomous AI attack in cloud environments.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/12_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年4月23日 [#### AIはクラウドを攻撃できるのか?自律型クラウド攻撃型マルチエージェント システムの構築から得られた教訓](https://unit42.paloaltonetworks.com/ja/autonomous-ai-cloud-attacks/) * [AI](https://unit42.paloaltonetworks.com/ja/tag/ai-ja/ "AI") * [Cloud](https://unit42.paloaltonetworks.com/ja/tag/cloud-ja/ "Cloud") * [Data exfiltration](https://unit42.paloaltonetworks.com/ja/tag/data-exfiltration-ja/ "data exfiltration") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/autonomous-ai-cloud-attacks/ "AIはクラウドを攻撃できるのか?自律型クラウド攻撃型マルチエージェント システムの構築から得られた教訓") ![Pictorial representation of phishing campaign. A blurred image focusing on a person typing on a laptop with lines of code visible on the screen, illuminated in blue and red lights, suggestive of intense coding or cyber activities.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/06_Malware_Category_1920x900-3-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年3月24日 [#### 脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/) * [Email scam](https://unit42.paloaltonetworks.com/ja/tag/email-scam/ "email scam") * [Lure](https://unit42.paloaltonetworks.com/ja/tag/lure/ "lure") * [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/ "phishing") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/ "脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム") ![Close-up of a black woman with glasses examining colorful computer code on a screen. The scene is illuminated by various lights, creating a focused and analytical atmosphere.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/13_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年2月6日 [#### クラウド脅威アクターの活動を検出する新しい手法](https://unit42.paloaltonetworks.com/ja/tracking-threat-groups-through-cloud-logging/) * [API](https://unit42.paloaltonetworks.com/ja/tag/api-ja/ "API") * [IAM](https://unit42.paloaltonetworks.com/ja/tag/iam-ja/ "IAM") * [MITRE](https://unit42.paloaltonetworks.com/ja/tag/mitre-ja/ "MITRE") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/tracking-threat-groups-through-cloud-logging/ "クラウド脅威アクターの活動を検出する新しい手法") ![Pictorial representation of CVE-2025-0921. Digital illustration of a map of North America with interconnected glowing lines and dots symbolizing network connections across the continent.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/06_Vulnerabilities_1920x900-2-1-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月30日 [#### SCADAシステムに存在する特権ファイルシステムの脆弱性](https://unit42.paloaltonetworks.com/ja/iconics-suite-cve-2025-0921/) * [CVE-2025-0921](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-0921/ "CVE-2025-0921") * [Privilege escalation](https://unit42.paloaltonetworks.com/ja/tag/privilege-escalation-ja/ "privilege escalation") * [SCADA](https://unit42.paloaltonetworks.com/ja/tag/scada/ "SCADA") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iconics-suite-cve-2025-0921/ "SCADAシステムに存在する特権ファイルシステムの脆弱性") ![Pictorial representation of runtime assembly attacks. Digital artwork of a glowing, futuristic shield disintegrating into small particles, set against a dark blue, bokeh-effect background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/09_Business_email_compromise_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月22日 [#### ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/) * [API](https://unit42.paloaltonetworks.com/ja/tag/api-ja/ "API") * [Google](https://unit42.paloaltonetworks.com/ja/tag/google-ja/ "Google") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/ "ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成") ![Pictorial representation of Azure OpenAI DNS resolution issue. Futuristic cityscape illustration with luminous structures and floating cloud elements, showcasing advanced technology and a dynamic, digitally enhanced environment.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/06/02_DNS_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月20日 [#### DNS OverDoS: プライベート エンドポイントはプライベートすぎるのか？](https://unit42.paloaltonetworks.com/ja/dos-attacks-and-azure-private-endpoint/) * [Microsoft Azure](https://unit42.paloaltonetworks.com/ja/tag/microsoft-azure-ja/ "Microsoft Azure") * [Networking](https://unit42.paloaltonetworks.com/ja/tag/networking/ "networking") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/dos-attacks-and-azure-private-endpoint/ "DNS OverDoS: プライベート エンドポイントはプライベートすぎるのか？") ![Pictorial representation of remote code execution in AI and machine learning libraries. Close-up of a woman wearing glasses and focusing intently on a computer screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/05_Vulnerabilities_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月13日 [#### 最新のAI/MLフォーマットとライブラリによるリモート コード実行](https://unit42.paloaltonetworks.com/ja/rce-vulnerabilities-in-ai-python-libraries/) * [Apple](https://unit42.paloaltonetworks.com/ja/tag/apple-ja/ "Apple") * [CVE-2025-23304](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-23304/ "CVE-2025-23304") * [CVE-2026-22584](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-22584/ "CVE-2026-22584") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/rce-vulnerabilities-in-ai-python-libraries/ "最新のAI/MLフォーマットとライブラリによるリモート コード実行") ![Pictorial representation of SLOW#TEMPEST campaign. Digital artwork depicting a malware alert symbol on a computer screen, with background of blurred programming code in blue and red colors.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/07_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月2日 [#### Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer](https://unit42.paloaltonetworks.com/ja/vvs-stealer/) * [Discord](https://unit42.paloaltonetworks.com/ja/tag/discord/ "Discord") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") * [Python](https://unit42.paloaltonetworks.com/ja/tag/python-ja/ "Python") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/vvs-stealer/ "Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer") ![Pictorial representation of RaaS RansomHouse. Digital representation of cybersecurity concept with a padlock superimposed over computer circuit boards, symbolizing data protection and encryption technologies.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/12/06_Ransomware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2025年12月17日 [#### 直線的なものからの複雑化:RansomHouse暗号化のアップグレード](https://unit42.paloaltonetworks.com/ja/ransomhouse-encryption-upgrade/) * [ESXi](https://unit42.paloaltonetworks.com/ja/tag/esxi-ja/ "ESXi") * [Jolly Scorpius](https://unit42.paloaltonetworks.com/ja/tag/jolly-scorpius-ja/ "Jolly Scorpius") * [RansomHouse](https://unit42.paloaltonetworks.com/ja/tag/ransomhouse-ja/ "RansomHouse") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/ransomhouse-encryption-upgrade/ "直線的なものからの複雑化:RansomHouse暗号化のアップグレード") ![Pictorial representation of 01flip ransomware written in Rust. Digital artwork of a pixelated U.S. dollar bill disintegrating into small blocks against a blue data matrix background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/12/05_Ransomware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年12月10日 [#### 01flip:Rustで書かれたマルチプラットフォーム ランサムウェア](https://unit42.paloaltonetworks.com/ja/new-ransomware-01flip-written-in-rust/) * [Bitcoin](https://unit42.paloaltonetworks.com/ja/tag/bitcoin-ja/ "Bitcoin") * [CL-CRI-103](https://unit42.paloaltonetworks.com/ja/tag/cl-cri-103-ja/ "CL-CRI-103") * [Cryptocurrency](https://unit42.paloaltonetworks.com/ja/tag/cryptocurrency-ja/ "Cryptocurrency") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/new-ransomware-01flip-written-in-rust/ "01flip:Rustで書かれたマルチプラットフォーム ランサムウェア") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/medical-iot-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)