金融グレードのKubernetesプラットフォーム — 規制とクラウドネイティブの共存

                        [ インターネット ]
                            |
                   +--------+--------+
                   |  外部ファイアウォール |
                   +--------+--------+
                            |
  ..........................|.......................... DMZ区間
  :                +--------+--------+                :
  :                |  DMZクラスタ     |                :
  :                |  - チャネルGW    |                :
  :                |  - WAF/プロキシ  |                :
  :                |  - 対外系アダプタ |                :
  :                +--------+--------+                :
  ......................... | ..........................
                   +--------+--------+
                   | 内部FW/IPS      |   <- 一方向統制、許可ポート最小化
                   +--------+--------+
                            |
  ..........................|.......................... 内部網(業務網)
  :   +----------------+   |   +------------------+   :
  :   | 内部網クラスタ   +---+---+  情報系クラスタ    |  :
  :   | - チャネル系     |       |  - バッチ/分析    |  :
  :   | - 共通サービス   |       |  - データパイプライン| :
  :   +-------+--------+       +------------------+   :
  :           |                                       :
  :   +-------+--------+      +-------------------+   :
  :   | 勘定系(コアバンキング)|   |  運用/管理領域     |  :
  :   | 従来インフラまたは |      |  - CI/CD、レジストリ| :
  :   | 専用クラスタ      |      |  - 監視、ログ      |  :
  :   +----------------+      +-------------------+   :
  .....................................................

[1] 利用対象業務の識別
     |
[2] 重要度評価
     |  - 固有識別情報/個人信用情報の処理有無
     |  - 電子金融取引の安全性・信頼性への影響
     |
     +--> 重要業務でない --> [3a] 内部手続き + 利用状況管理
     |
     +--> 重要業務に該当 --> [3b] 業務継続計画 + 安全性確保措置
                              |
                          [4] 情報保護委員会の審議・議決
                              |
                          [5] 監督当局への事前報告(重要業務、利用7営業日前)
                              |
                          [6] 契約締結 + 利用開始
                              |
                          [7] 事後管理: 年1回以上の安全性点検、変更時の再評価

apiVersion: v1
kind: Namespace
metadata:
  name: payment-core
  labels:
    bank.example.com/criticality: "critical"      # 重要度評価の結果
    bank.example.com/data-class: "pci-personal"   # データ等級
    bank.example.com/dr-tier: "tier-1"            # DR等級
    bank.example.com/owner-dept: "payments-dev"   # 所管部署

apiVersion: v1
kind: ResourceQuota
metadata:
  name: payment-core-quota
  namespace: payment-core
spec:
  hard:
    requests.cpu: "64"
    requests.memory: 256Gi
    limits.cpu: "96"
    pods: "300"
    services.loadbalancers: "0"   # LB作成はプラットフォームチームのみ

apiVersion: v1
kind: Namespace
metadata:
  name: payment-core
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: latest
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/warn: restricted

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: financial-image-controls
spec:
  validationFailureAction: Enforce
  background: true
  rules:
    # ルール1: 社内閉域網レジストリ以外のイメージを遮断
    - name: restrict-registry
      match:
        any:
          - resources:
              kinds: ["Pod"]
      validate:
        message: "社内レジストリ(registry.bank.internal)のイメージのみ許可されます。"
        pattern:
          spec:
            containers:
              - image: "registry.bank.internal/*"
    # ルール2: latestタグ禁止 — 変更追跡が不可能
    - name: disallow-latest-tag
      match:
        any:
          - resources:
              kinds: ["Pod"]
      validate:
        message: "イメージは不変タグ(digestまたはバージョン)を使用してください。"
        pattern:
          spec:
            containers:
              - image: "!*:latest"

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: verify-image-signature
spec:
  validationFailureAction: Enforce
  webhookTimeoutSeconds: 30
  rules:
    - name: require-cosign-signature
      match:
        any:
          - resources:
              kinds: ["Pod"]
              namespaceSelector:
                matchLabels:
                  bank.example.com/criticality: critical
      verifyImages:
        - imageReferences:
            - "registry.bank.internal/*"
          attestors:
            - entries:
                - keys:
                    publicKeys: |-
                      -----BEGIN PUBLIC KEY-----
                      MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAE...
                      -----END PUBLIC KEY-----
          # 脆弱性スキャンattestationの検証: Critical脆弱性0件の証明
          attestations:
            - type: https://cosign.sigstore.dev/attestation/vuln/v1
              conditions:
                - all:
                    - key: "{{ scanner }}"
                      operator: Equals
                      value: "trivy"

[ 外部インターネット区間(限定的許可) ]
   docker.io / ghcr.io / quay.io
        |
        v  (1) ミラーリング専用サーバーで定期同期
[ 検疫区間 ]
   ステージングレジストリ --> (2) Trivy/Grype全数スキャン
        |                    (3) ポリシー合格時に署名(cosign sign)
        v  (4) 承認イメージのみ内部搬入
[ 内部網 ]
   Harbor (registry.bank.internal)
        |- proxy-cacheプロジェクト: ベースイメージ
        |- appsプロジェクト: 社内ビルド成果物
        +- レプリケーション: DRサイトのレジストリ

apiVersion: audit.k8s.io/v1
kind: Policy
rules:
  # シークレットアクセスはメタデータレベルまですべて記録
  - level: Metadata
    resources:
      - group: ""
        resources: ["secrets", "configmaps"]
  # ワークロード変更はリクエストボディまで記録
  - level: RequestResponse
    verbs: ["create", "update", "patch", "delete"]
    resources:
      - group: "apps"
        resources: ["deployments", "statefulsets", "daemonsets"]
      - group: ""
        resources: ["pods", "services"]
  # 照会系リクエストは記録を最小化(ストレージコスト統制)
  - level: None
    verbs: ["get", "list", "watch"]
    users: ["system:kube-proxy", "system:apiserver"]
  - level: Metadata
    omitStages: ["RequestReceived"]

開発者               Gitリポジトリ          電子決裁システム          ArgoCD
  |                      |                       |                  |
  |--- PR作成 ---------->|                       |                  |
  |                      |--- Webhook: 起案 ---->|                  |
  |                      |                       |--- 承認ライン --->|
  |                      |                       |   (リーダー/セキュリティ/|
  |                      |                       |    変更管理委員会) |
  |                      |<-- 承認コールバック ----|                  |
  |                      |  (マージロック解除)     |                  |
  |--- マージ ----------->|                       |                  |
  |                      |<------------------ 同期(ポーリング/Webhook)|
  |                      |                       |                  |
  |                      |  本番クラスタへ適用 + 適用結果を            |
  |                      |  決裁文書に自動添付(証跡回収)              |

apiVersion: apps/v1
kind: Deployment
metadata:
  name: channel-api
spec:
  replicas: 6
  template:
    spec:
      topologySpreadConstraints:
        - maxSkew: 1
          topologyKey: topology.kubernetes.io/zone
          whenUnsatisfiable: DoNotSchedule
          labelSelector:
            matchLabels:
              app: channel-api
---
apiVersion: policy/v1
kind: PodDisruptionBudget
metadata:
  name: channel-api-pdb
spec:
  minAvailable: 4
  selector:
    matchLabels:
      app: channel-api

人事システム(HR) ---> IdP (Keycloak/AD) ---> OIDC ---> kube-apiserver
     |                    |                              |
     |  発令/退職イベント    |  グループメンバーシップ自動更新   |  RBACグループバインディング
     +------------------->|  (部署コード = IdPグループ)     |
                          +--- 未使用90日アカウント自動ロック  |

# 平時: 運用者は読み取り専用グループのみに所属
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: ops-readonly
subjects:
  - kind: Group
    name: idp:platform-ops
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: view
  apiGroup: rbac.authorization.k8s.io

[昇格フロー]
運用者 --> PIMポータルで理由 + 対象ネームスペース + 時間(最大4h)を申請
       --> 承認者(別人)が承認 --> 自動化が一時的なRoleBindingを作成
       --> 期限時刻にコントローラーがRoleBindingを自動削除
       --> 昇格区間のすべてのkubectlコマンドはaudit logで別途タグ付け・レビュー

# ステップ1: ネームスペースのデフォルト拒否 (Ingress + Egress)
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
  namespace: payment-core
spec:
  podSelector: {}
  policyTypes: ["Ingress", "Egress"]
---
# ステップ2: DNSは許可 (egress遮断で最初に壊れるもの)
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-dns
  namespace: payment-core
spec:
  podSelector: {}
  policyTypes: ["Egress"]
  egress:
    - to:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: kube-system
      ports:
        - protocol: UDP
          port: 53
        - protocol: TCP
          port: 53

apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: allow-core-banking-if
  namespace: channel-api
spec:
  endpointSelector:
    matchLabels:
      app: transfer-service
  egress:
    - toFQDNs:
        - matchName: "mca-gateway.core.bank.internal"
      toPorts:
        - ports:
            - port: "8443"
              protocol: TCP

[証跡パイプライン]
kube-bench (週1回) ---+
Falcoイベント (常時) --+--> ログパイプライン --> WORMストレージ (長期保管)
PolicyReport (常時) --+         |
audit log (常時) -----+         +--> 月次コンプライアンスレポートジョブ --> 電子決裁起案

+---------------------------- 内部網クラスタ ----------------------------+
|                                                                       |
|  [チャネルサービスA] --\                                                |
|  [チャネルサービスB] ---+--> [メッシュegressゲートウェイ] ---+            |
|  [チャネルサービスC] --/      (mTLS終端、トラフィック統制)    |            |
|                                                          |            |
+----------------------------------------------------------|------------+
                                                           v
                                          [アダプタサービス (プロトコル変換)]
                                           REST/gRPC <-> 電文(固定長)
                                                           |
                                                    [MCA / ESB]
                                                           |
                                              +------------+-----------+
                                              | 勘定系(元帳/与信/受信)   |
                                              | 対外系(決済網/VAN網)    |
                                              +------------------------+