Kubernetes and Cloud Native Associate 無料問題 6 / 10 ・ 分野2: Container Orchestration
kubectl で Deployment を作る要求が、API サーバーの中で通る段階について、公式ドキュメントに合うものはどれか。
- 認可は認証より前に行われ、利用者名が決まる前に権限を判断する
- 認証の段階で、要求された操作を許すかどうかもあわせて判断する
- アドミッション制御は認可のあとに動き、中身を見て変更や拒否ができる
- アドミッション制御を通ったオブジェクトは、検証を経ずにそのまま保存される
正解と解説を見る
正解: C
正解の理由
Controlling Access to the Kubernetes API のページは、要求が API に届くと、TLS の確立のあと、認証（図の1）、認可（図の2）、アドミッション制御（図の3）の順に進むと書いている。アドミッション制御のモジュールは要求を変更したり拒否したりでき、認可に使える属性に加えて、作成・変更されるオブジェクトの中身まで見られる。すべてのアドミッションコントローラを通った要求は、オブジェクトの検証の処理を受けてから保存される（図の4）。
違う選択肢
「認可は認証より前に行われ、利用者名が決まる前に権限を判断する」… ページは、TLS の確立のあと要求はまず認証の段階へ進み（図の1）、特定の利用者からの要求と認証されたあとに認可を受ける（図の2）と書いている。認可は、認証で決まった利用者名・操作・対象で判断する。
「アドミッション制御を通ったオブジェクトは、検証を経ずにそのまま保存される」… ページは、すべてのアドミッションコントローラを通った要求は、その API オブジェクトの検証の処理を受けてから、オブジェクトストアに書き込まれる（図の4）と書いている。
「認証の段階で、要求された操作を許すかどうかもあわせて判断する」… ページは、認証の段階は要求を特定の利用者として認証するところで、操作を許すかどうかは次の認可の段階で、既存のポリシーがその利用者に操作の権限を与えているかで判断すると書いている。
押さえどころ
認証に失敗すると HTTP の 401、すべての認可モジュールが拒否すると 403 で返る。認証と認可は複数のモジュールのうち1つが通せば進めるが、アドミッションコントローラは1つでも拒否すれば要求はすぐに拒否される。アドミッション制御はフィールドの複雑な既定値も設定できる。