AKSのセキュリティが2026年に大幅強化——nodes/proxy権限の悪用を自動ブロック
Microsoftは2026年に入り、Azure Kubernetes Service（AKS）のセキュリティ機能を大幅に強化した。特に注目すべきは、AKS Automaticにおけるnodes/proxy権限保護の多層防御機構だ。
nodes/proxy権限とは何か、なぜ危険なのか
Kubernetesのnodes/proxy権限は、ノードのKubeletに対してAPIサーバー経由でプロキシアクセスを可能にするサブリソースだ。この権限を悪用されると、攻撃者はノード上で**任意コードをリモート実行（RCE: Remote Code Execution）**できる。クラスター内でServiceAccountに過剰な権限が付与されている場合、この権限が攻撃の足がかりになるケースが実際のインシデントでも報告されている。
日本国内でもクラウドネイティブ化を進める企業が増えており、Kubernetes環境でのRBACミスコンフィグは依然として主要なセキュリティリスクの一つとして挙げられている。
AKS Automaticが実装した多層防御
AKS AutomaticはMicrosoftが管理するKubernetesのオペレーション自動化プラットフォームだが、今回のアップデートでは以下の防御機構が追加された。
ValidatingAdmissionPolicyによるアクセス制御
Kubernetes 1.30でGAとなったValidatingAdmissionPolicy（VAP）を活用し、「システムが承認したユーザー以外へのnodes/proxy権限付与」をAPIサーバーレベルでブロックする。これにより、開発者がうっかりRoleBindingで過剰権限を付与しようとしても、クラスターが自動的に拒否する仕組みだ。
デフォルト拒否ポリシーの適用
nodes/proxyへのアクセスはデフォルトで拒否される設定が組み込まれており、明示的に承認されたシステムコンポーネント以外はこの権限を持てない。K8sセキュリティのベストプラクティス（最小権限の原則）がマネージドサービス側で自動適用される形となった。
2026年のAKSアップデート全体像
nodes/proxy保護以外にも、2026年のAKSには注目すべきアップデートが相次いでいる。
- Ubuntu 24.04 + containerd 2.0がGA：K8s v1.32以降でデフォルトノードOSとなり、起動時間短縮やカーネルハードニングが向上
- NCv6 GPU VMのプレビュー：次世代NVIDIAを搭載したVM seriesがAKSで利用可能に。LLMのファインチューニングやエージェント型ワークロードに最適
- Azure Monitor OpenTelemetry DistroがGA：高度なサンプリングと豊富なデータ収集で分散トレースの品質が向上
- Azure SRE Agentの機能拡張：GitHub Copilotによる障害対応支援やServiceNow連携など、AIOpsへの傾倒が鮮明
まとめ
AKSは単なるコンテナ実行基盤から、AIネイティブ・SREフレンドリー・エンタープライズグレードのコンピュート基盤へと進化しつつある。今回のセキュリティ強化は、プラットフォームエンジニアリングチームが個別に対策を講じなくても、クラウドベンダー側でK8sセキュリティのベストプラクティスが自動適用される時代の到来を示している。
nodes/proxy権限の取り扱いに不安を感じていたチームにとっては、AKS Automaticへの移行を検討する良い機会かもしれない。
元記事: AKS Automatic Security Enhancement: nodes/proxy Permission Protection