PR：この記事にはアフィリエイトリンクが含まれます。
Kubernetes セキュリティ 本 おすすめを探しているなら、まずは本が扱う防御の範囲を見てみましょう。RBACやPod Security Admission（PSA）を中心に、脅威分析や監視まで学べる5冊を実務目線で紹介します。
RBACはKubernetes APIを操作する主体と権限を扱い、PSAはPod設定が基準を満たすかを検査します。役割の差を押さえると、自分が読むべき本を判断しやすくなりますよね。
早見表
刊行時期と中心テーマを先に一覧にしました。RBACとPSAを一通り押さえたいのか、試験や監視まで学びたいのか。目的によって、本から得られるものも変わります。
| 書籍 | 刊行 | 主な範囲 | 向いている読者 |
|---|---|---|---|
 Learning Kubernetes Security 第2版 | 2025年 | RBAC、PSA、演習、監視 | 広く実務を学びたい人 |
 CKS Study Guide | 2023年 | 試験領域、演習、模擬試験 | CKSを目指す管理者 |
 Hacking Kubernetes | 2021年 | 脅威モデル、ポリシー、ランタイム | 攻撃面を掘り下げたい人 |
 Kubernetes Security and Observability | 2021年 | 基盤、Pod、監視、可観測性 | 運用全体を見たい人 |
| Container Security 第2版 | 2025年 | 供給網、通信、Secret、実行時防御 | コンテナ防御を深めたい人 |
価格は販売店や在庫、紙版・電子版で変わります。参考価格がある場合も、購入時点の表示を目安にしてください。刊行年も見ておきたいところ。現行バージョンの手順は公式ドキュメントと照らすと安心です。
RBACの基本
RBACはKubernetes APIで許される操作を定めます。RoleとClusterRoleで権限を示し、RoleBindingなどを通じてユーザーやServiceAccountに結び付ける仕組みです。
たとえば、アプリを動かすPodにPod作成やSecret取得の権限まで持たせると、侵害時に被害が広がるおそれがあります。アプリの実行権限とデプロイ担当者の権限を分ける。ここが基本です。
名前空間内だけで必要な権限にはRoleを使い、クラスタ全体に関わる操作にはClusterRoleを使います。こうした境界を意識すれば、不要な許可も見つけやすくなります。
特にPod作成やRoleBindingの変更は、別の強い権限につながることがあります。ルールの内容に加え、それを使う主体も確認してください。
PSAの要点
Pod Security Admissionは、名前空間に設定した基準に沿ってPodのセキュリティ設定を検査します。Pod Security Standardsの基準は、Privileged、Baseline、Restrictedの三段階です。
Enforceは基準に合わないPodを拒否する設定です。Warnは利用者へ警告を返し、Auditは監査記録に残します。まずWarnやAuditで影響を把握し、既存Podへの影響を確認してからEnforceを適用すると、移行しやすくなります。
Restrictedを目指すなら、権限昇格の禁止や特権コンテナの回避、実行ユーザーなどを確認します。ラベルを付けるだけでは安全になりません。アプリの動作と基準の両方を見る必要があります。
Pod Security Policy（PSP）はKubernetes 1.25で削除されました。古い本に載ったPSPの設定例を現行クラスタへ適用するのは避けましょう。PSAや、必要に応じてKyverno、OPAやGatekeeperのポリシーに読み替えてください。
実務を一冊で学ぶ
Learning Kubernetes Security: A Practical Guide for Secure and Scalable Containerized Environments, Second Editionは、2025年6月刊で390ページの第2版です。認証・認可・Admissionの基礎からPSSとPSAまで扱います。
特長は、手順に沿ったハンズオン演習です。RBACの考え方を設定で試せます。イメージスキャンやNetworkPolicyも含むため、Pod単体からクラスタ全体の防御まで学びたい初学者におすすめです。
監視やログ分析に加えて、Falco、Tetragon、Ciliumにも触れます。セキュリティ全般を一冊で学びたい方に、まず勧めたい本です。
CKS対策に強い本
Certified Kubernetes Security Specialist (CKS) Study Guide: In-Depth Guidance and Practiceは、2023年6月刊、211ページの試験対策書です。Cluster HardeningやSystem Hardeningなど、CKSの学習領域に沿った構成です。
RBAC・PSA・PSS・OPAとGatekeeperのほか、イメージ署名とスキャン、ランタイムサンドボックスや監査ログも扱います。章末演習と模擬試験があり、手を動かす時間も確保できます。
CKS合格に向けて学習範囲を絞りたい管理者におすすめです。ただし刊行は2023年。受験前には現行の試験範囲とKubernetesのバージョンを確認してください。基礎から広く学ぶなら、実務書との併読が安心でしょう。
脅威から考える
Hacking Kubernetes: Threat-Driven Analysis and Defenseは2021年10月刊、311ページです。中級から上級の読者を対象に、脅威モデルを使ってKubernetesの構成や攻撃面、対策を考えます。
RBACやOPA、Kyvernoによるポリシー制御に加えてsecurityContextやサンドボックスを扱います。さらにランタイム分離、Secret、マルチテナンシーも対象です。攻撃の筋道から防御を考えたい方におすすめの一冊。
発行年が比較的古いため、コマンドや機能を試す前に対象バージョンを確認しましょう。脅威分析の考え方を現行の設定へ応用したい方に勧められます。
監視まで見渡す
Kubernetes Security and Observability: A Holistic Approach to Securing Containers and Cloud Native Applicationsは2021年10月刊、192ページです。クラスタ基盤やワークロード、実行時防御から監視までを横断します。
RBACやSecretの暗号化、イメージスキャンに加え、NetworkPolicyも扱います。アラートやネットワークフローの可視化、トラブルシューティングも解説。防御を運用につなげたい方におすすめです。
Pod Securityの章ではPSPを扱いますが、PSPはKubernetes 1.25で削除済みです。seccompやAppArmor、securityContextの背景を学び、現行のPSA手順は公式資料で補ってください。
コンテナ防御を深める
Container Security: Fundamental Technology Concepts That Protect Cloud Native Applications, 2nd Editionは2025年10月刊の第2版です。RBACやPSAを軸にした試験本ではなく、コンテナ防御を支える技術を広く学ぶ本です。
イメージの脆弱性検査に加え、SBOM、署名、来歴を扱います。Admissionによる検証も学べるため、信頼できるイメージをクラスタへ入れる仕組みを考える際に役立ちます。NetworkPolicyやeBPF、サービスメッシュと通信監視も範囲です。
Secretsの管理ではCSI Driver、External Secrets Operator、ローテーションを扱います。実行時防御ではseccomp・AppArmor・SELinuxに加え、FalcoやTetragonも登場。Linuxや供給網まで学びたい中級者以上におすすめです。
結論
RBAC・PSAの実務とKubernetesセキュリティの全体像を学び始めるなら、Learning Kubernetes Security 第2版がおすすめです。ハンズオンがあり、基礎から設定例まで追えます。
CKS合格を目指す方には、演習と模擬試験を含むCKS Study Guideをすすめます。攻撃者の視点を身につけたい方にはHacking Kubernetesを、監視設計まで学ぶ方にはKubernetes Security and Observabilityをおすすめします。
供給網や実行時防御まで学ぶ方にはContainer Security 第2版もおすすめです。刊行年と現行環境の差を意識し、PSAや試験範囲の手順は公式資料で照合してください。
Amazon の PC をスコア化してみた
Amazonにある8〜14インチの小型WindowsタブレットやノートPCを、スペック別にスコア化して比較・ランキング。
