コンテナの世界は、驚異的な速さで成熟を続けています。オンプレミスとクラウドの両方でコンテナ関連のアプリケーションサービスが採用されていることは、このテクノロジーが短期間のうちに黎明期を脱し、成熟しつつあるエコシステムへと発展したことを示す有力な指標です。
その成熟に伴い、コンテナを支えるために必要なエンタープライズクラスのテクノロジーとの統合も進んでいます。コンテナエコシステムの迅速な統合と拡張を可能にするもう1つのAPIエコノミーも、成熟と改良を続けています。
この成熟によって期待されることの1つは、従来のエンタープライズクラスの製品が、Kubernetesのようなコンテナオーケストレーション環境に対応する方向へ進むことです。ここでいう「方向へ進む」とは、ドメインの専門知識を抽象化する宣言型APIモデルなどの考え方を迅速に採用することを意味します。つまり、BIG-IPのようなシステムやサービスの統合と導入を簡素化し、より幅広い役割の担当者がテクノロジーを構成、導入、運用できるようにすることです。
これが重要なのは、Webアプリケーションファイアウォールなど一部のアプリケーションサービスは、N-Sイングレスでコンテナの上流に導入すると、攻撃とそれに伴う望ましくない影響に最も効率的かつ効果的に対処できるためです。しかし、そのためには多くの場合、BIG-IPとWAFの両方について、用語や概念に関する高度な専門知識が必要です。この障壁への対処は、F5の自動化とオーケストレーションに関する取り組みの主要な目標であり、その成果はF5 Automation Toolchainの急速な進化に表れています。
このツールチェーンには、AS3、すなわちF5 Application Services 3 Extensionが含まれています。AS3は、BIG-IP向けの最新の（node.js）インターフェースを提供します。これにより、宣言型構成を取り込み、BIG-IPが提供するアプリケーションサービスをプロビジョニングして運用できます。最新バージョンのContainer Ingress Services (CIS)と組み合わせることで、コンテナ環境の運用担当者は、BIG-IPが提供するアプリケーションサービスを利用して、APIとアプリケーションのセキュリティを確保し、高速化できます。
Container Ingress Servicesは、コンテナサービスとBIG-IPをつなぐKubernetesネイティブのサービスです。変更を監視し、その内容をBIG-IPが提供するアプリケーションサービスに伝達します。これらのアプリケーションサービスは、コンテナ環境の急速な変化に追随し、セキュリティポリシーを適用できるようにします。
今回の最新リビジョン（Container Ingress Services 1.9）では、アノテーションの使用からConfigMapsへ移行し、統合に対するKubernetesネイティブのサポートが導入されました。これにより、ConfigMapのdataフィールドにAS3宣言を挿入することで、使い慣れたKubernetesの記述方法を使用してF5アプリケーションサービスを統合できます。これには、証明書の埋め込みや負荷分散アルゴリズムの選択に加え、APIまたはアプリケーションに必要最小限のOWASP Top 10対策を導入することも含まれます。
この最新のKubernetesに適した宣言では、リポジトリからポリシー宣言を取得することもできます。これにより、SecDevOps（DevSecOpsでも、単にSecOpsでも、呼び方は問いません）は、DevOpsにセキュリティやWAFの専門知識を求めて負担をかけることなく、セキュリティをシフトレフトできます。
kind: ConfigMap apiVersion: v1 metadata: name: f5-waf namespace: default labels: f5type: virtual-server as3: "true" data: template: | {
# ここにservice、pool、loggingの宣言を記述
"policyWAF": { "use: "owaspautotune" }
# ここにモニターとプールメンバーを宣言
"owaspautotune": { "class": "WAF Policy", "url": "https://repository/pathToConfig/f5-as3-declarations/master/Common_WAF_Policy.xml", "ignoreChanges": true }
このネイティブサポートにより、DevOpsおよびDevSecOpsチームは、自ら運用するAPI、アプリケーション、サービス向けのWebアプリケーションファイアウォールを容易かつ迅速に導入できます。現在、Ingressやロードバランサー向けに、セキュリティ関連サービスを明示的に有効化するこのようなKubernetes言語はありません。Container Ingress ServicesはConfigMapの使用をサポートすることで、より自然で使い慣れた仕組みにより、アプリケーションセキュリティをKubernetesと簡単に統合できる手段を提供します。
リソース
Docker Hubから最新のContainer Ingress Services（v1.9）を入手
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
SOAS 2025：足並みの乱れが凡庸さを招く
AI導入における方針の不一致は、非効率を招きます。セキュリティ、自動化、導入の各戦略を整合させ、AIの可能性を最大限に引き出す方法をご紹介します。
WebAssemblyが重要な理由
WebAssembly（Wasm）は、あらゆるプラットフォームで高性能なアプリケーションを実現する、ポータブルで高速かつセキュアなバイナリ命令セットです。
インフラストラクチャは依然として格好の攻撃経路
クラウドコンピューティングでは、APIやドラッグ＆ドロップ式の設定ツールを活用し、ネットワークやインフラストラクチャを敬遠する人がそれらを直接扱わずに済むようにすることで、インフラストラクチャへの対応を不要にすることが長年追求されてきました。しかし、インフラストラクチャを無視することも、攻撃の主要な標的であるという事実を見過ごすこともできません。
堅牢なデータアーキテクチャがもたらす戦略的メリット
適切に構築されたデータアーキテクチャがもたらす効果は、業務プロセスの改善にとどまりません。戦略的な業務効率の向上、より深いビジネスインサイトの獲得、隣接するビジネス機会への展開にもつながり、これらすべてをより俊敏に実行できるようになります。
デジタルワークフローにおける不正検知には、データだけでは不十分
2019年には、業界全体でクレジットカード詐欺の試みが約25万件確認されました。これは約2分に1件の割合です。今日、不正を検知するには、デジタルワークフロー上のできるだけ多くのポイントから収集したデータを相互に関連付け、手作業によるデータ処理をはるかに上回る速度で分析する能力が求められます。