この記事は、CAST AI社により公開されたブログ記事を元に翻訳・作成したものです。元の記事については以下をご覧ください。
（記事最終更新日：2022年6月23日）
Read-OnlyなCAST AIエージェントはどう動き、どんなデータを参照するか？
公開日：2022年11月28日
更新日：2022年11月28日
セキュリティは、CAST AIのバックボーンです。なにより、私たちの創業者は、サイバーセキュリティ分野で強いバックグラウンドと長年の経験を持っています。
とはいえ、お客様に価値のある結果を提供するためには、最小限のクラスタへのアクセスが必要です。私たちは最小特権の原則にしたがっており、Read-Onlyなエージェントは、クラスタの設定を変更したり、機密データへアクセスしたりすることは一切行いません。
CAST AI エージェントは、お客様の設定を解析し、Cluster Savings Report を作成します。
CAST AIの読み取り専用エージェントがアクセスできるデータは？
エージェントのコードはオープンソースで、 GitHubのリポジトリで見ることができます。
「connect your cluster」スクリプトを初めて実行した際に、以下の要素が作成されます。
- namespace/castai-agent
- serviceaccount/castai-agent
- clusterrole.rbac.authorization.k8s.io/castai-agent
- clusterrolebinding.rbac.authorization.k8s.io/castai-agent
- role.rbac.authorization.k8s.io/castai-agent
- rolebinding.rbac.authorization.k8s.io/castai-agent
- secret/castai-agent
- configmap/castai-agent-autoscaler
- deployment.apps/castai-agent
YAMLファイルの内容は、スクリプトを実行する前に、簡単に確認することができます。
処理中、Kubernetesスケジューラーから、ノードのワークロード設定に関するメタデータのみが送信されます。また、エージェントはSnapshotsと呼ばれるノード構成からYAMLファイルにアクセスします。
CAST AIエージェントが読み取れる内容は以下のとおりです。
- Savings Reportの実行に必要なノード、ポッド、デプロイメントなどの主なリソース
- ポッド、デプロイメント、ステートフルセット、デーモンセットにおける環境変数
CAST AIエージェントは、シークレット、ConfigMap、環境変数にアクセスすることはできません。名前からして機密性が高いと思われる環境変数（passwords, tokens, keys, secrets）は、リソースが解析に送られる前に削除されます。
CAST AIによる機密データの取り扱いについて
CAST AIはユーザーの機密データには一切アクセスしません。Kubernetesクラスタでどのリソースを使用しているかに関わらず、その内容を知ることもアクセスすることもできません。
私たちが知っているのは、あなたのクラスタを最も効率的に動かすために必要なストレージ、メモリー、CPUユニットの量だけです。あなたはいつでも私たちのエージェントとそのすべてのレガシーリソースを削除することができます。
注）CAST AIは、ISO認証およびSOC2 TypeII 認証を取得しています。
ステップごとのCAST AIエージェントの動作解説
ステップ1：CAST AIコンソールに接続
クラスタの潜在的な節約効果を確認するには、Read-Onlyのスクリプトを使用して、クラスタにCAST AIエージェントをデプロイする必要があります。
まず初めに、HTTPS経由CAST AI Consoleに接続します。この処理では、セキュアな認証方法としてauth0.com、TLSおよびDDoSに対応するためにCloudFlare WAFを使用しています。
このプラットフォームでは、Identity Aware Proxy を使用して HTTPS でアクセスするすべてのアプリケーションの中央認証レイヤーを確立しています。それにより、ネットワークレベルのファイアウォールに依存せず、アプリケーションレベルのアクセス制御モデルが利用可能になります。最後に、IDプロバイダとCAST AIとの間で認証されたユーザーのIDを受け渡すためにJWT（JSON Web Token）が使用されます。
注：CAST AI Consoleは、AWS EKS API（およびほかのクラウドプロバイダーのAPI）とHTTPS（GET、CONNECT、PUT、TRACE）でも対話します。
ステップ2：コスト削減レポートの表示
Consoleに接続すると、分析を実行し、クラスタをどれだけ節約できるかを確認することができます。以下はその例です。
タグ一覧
