CKS（Kubernetesセキュリティスペシャリスト）とかいうインフラエンジニアの最難関資格ｗｗｗｗ

1：名無しの資格マニア

ワイ、CKA取ったから調子乗ってCKS申し込んだ模様

3：名無しの資格マニア

難易度跳ね上がりすぎて草

7：名無しの資格マニア

CKAがチュートリアルに見えるレベルでむずい

8：名無しの資格マニア

何が難しいんや？
ただのコンテナやろ？

11：名無しの資格マニア

>>
コンテナのセキュリティをガチガチにするんや
AppArmorとかSeccompとかFalcoとか色々使わされる

12：名無しの資格マニア

Falcoとかいう常に不機嫌な監視員

16：名無しの資格マニア

Falco「おっ、コンテナ内でシェル起動したな！検知！ｗ」

19：名無しの資格マニア

Falco「vim動かしたな！アラート！ｗ」

21：名無しの資格マニア

うっとうしくて草

23：名無しの資格マニア

実際実務でFalco使いこなせてるやつおるんか？
アラート多すぎてオオカミ少年になりそうやが

27：名無しの資格マニア

>>
ルールちゃんとチューニングせんとノイズだらけで死ぬで
デフォルトのまま動かすのはガイジ

30：名無しの資格マニア

OPA（Open Policy Agent）とかいうRegoとかいう謎言語を強要してくるクソ

33：名無しの資格マニア

Rego意味不明すぎて禿げるわ
なんであんな直感に反する構文なんや

37：名無しの資格マニア

>>
それな
Gatekeeperのテンプレート書くだけで一日終わるわ

40：名無しの資格マニア

ワイ「NetworkPolicy設定したろ！」
Pod「通信できなくなりました」
ワイ「ファッ！？」

44：名無しの資格マニア

NetworkPolicyはデフォルト全拒否（default-deny）から始めるのが鉄則やぞ
なお自分の首を絞める模様

46：名無しの資格マニア

CKSってまだ対面試験ないんか？
オンライン試験の環境クソすぎるやろ

47：名無しの資格マニア

PSIセキュアブラウザとかいうゴミ

48：名無しの資格マニア

>>
ほんこれ
画面共有ガクガク、コピペ不可、試験官はインド人でチャットでキレてくる

49：名無しの資格マニア

試験官「カメラに部屋の4隅を映してください」
ワイ「（部屋が汚すぎて）あ、あぁ…」

50：名無しの資格マニア

試験官「机の上のもの全部片付けろ」
ワイ「水は？」
試験官「ラベル剥がせばOK」
厳しすぎて草

51：名無しの資格マニア

ワイ受験中、親がドア開けて乱入して失格になったわ

55：名無しの資格マニア

>>
草
マッマ「たかしー、ご飯よー」
試験官「TERMINATED.」

57：名無しの資格マニア

>>
悲惨すぎて涙出ますよ

58：名無しの資格マニア

CKS持ってるやつって年収いくらくらいなん？

62：名無しの資格マニア

>>
外資コンサルとかクラウドベンダーなら1000万は余裕で超える
ただのSESなら500万で買い叩かれる

64：名無しの資格マニア

資格だけあっても実務経験ないと意味ない定期

66：名無しの資格マニア

>>
いやCKSは実技試験やから、持ってるだけでも「一応コマンド叩ける」証明にはなるで
ベンダー試験の選択式とはワケが違う

69：名無しの資格マニア

Killer.shとかいう公式のくせに本番より遥かに難しい模試

70：名無しの資格マニア

Killer.shで1回目20点くらいで絶望するまでがセット

71：名無しの資格マニア

>>
あれ時間制限内に終わらせるの人間には不可能やろ
本番はもうちょっと問題数少ないし素直やから安心しろ

75：名無しの資格マニア

Trivyで脆弱性スキャンして、Dockerfile修正して、マルチステージビルドにして…
これもう半分開発者やろ

77：名無しの資格マニア

k8sのセキュリティってぶっちゃけマネージド使ってたらAWS（EKS）とかが裏でやってくれてるんちゃうん？

78：名無しの資格マニア

>>
共同責任モデルって知ってるか？
インフラ層はAWSが守ってくれるけど、コンテナ内の設定とかNetworkPolicy、RBACはユーザーの責任やぞ

82：名無しの資格マニア

あーRBACな
ClusterRoleとRoleBindingの違いで毎回頭バグるわ

84：名無しの資格マニア

>>
簡単やん
ClusterRole＝クラスター全体（ノードとかNamespace自体）
Role＝特定のNamespace内

85：名無しの資格マニア

>>
サンガツ
でも試験中に焦るとどっち作ればいいか分からんくなるわ

87：名無しの資格マニア

CKSの有効期限2年なの短すぎやろ
せめて3年にしてくれや、更新だるすぎる

90：名無しの資格マニア

>>
k8sのアップデート速度が早すぎるからしゃーない
1年半前のアプデで非推奨になったAPIがもう使えなくなってたりするし

94：名無しの資格マニア

kube-bench「ここセキュリティダメです」
kube-bench「ここもダメです」
ワイ「うるせええええええええええ（全無視）」

95：名無しの資格マニア

>>
監査ログ（Audit Log）の設定もだるい
ポリシーファイル書いて、apiserverのmanifest書き換えるやつ

97：名無しの資格マニア

apiserverのmanifest書き換える時、一文字タイポしただけでコントロールプレーン全死に沈黙するのスリルあって好き

100：名無しの資格マニア

>>
心臓に悪すぎるわ
二度と起動しなくなった時の絶望感

104：名無しの資格マニア

>>
バックアップ取ってないんか？
ホスト側の `/etc/kubernetes/manifests` から退避させとくのは基本やぞ

106：名無しの資格マニア

こういう真面目なノウハウ助かる

109：名無しの資格マニア

お前らCKSの勉強何でやってるんや？
UdemyのMumshadニキの講座？

113：名無しの資格マニア

>>
基本はそれやな
KodeKloudのハンズオン優秀すぎる

114：名無しの資格マニア

あとはKim WüstkampニキのUdemyもええぞ
Killer.sh作った人や

115：名無しの資格マニア

英語わからんのやが日本語の教材ないんか？

117：名無しの資格マニア

>>
ほぼ無い
k8sの本質は一次情報の英語ドキュメントを検索する能力やから諦めて英語読め

120：名無しの資格マニア

試験中にk8sの公式ドキュメントだけは見てもいいルールなの、ほんま助かる
ブックマーク禁止になったのは許さんけどな

121：名無しの資格マニア

>>
え、今ブックマーク使えんの？
検索窓から探すんか、時間ロスえぐそう

122：名無しの資格マニア

>>
せやで
PSIブラウザ内のしょぼいブラウザで公式ドキュメント検索するんやが、これがまた重くて検索ワード打つだけで3秒かかる

125：名無しの資格マニア

罰ゲームかな？

128：名無しの資格マニア

CKSの難易度順ってどんな感じ？
クラウド系資格との比較で教えてや

130：名無しの資格マニア

AWS SAP < CKA < CKS <= AWS SCS（セキュリティ）
こんな感じ？

133：名無しの資格マニア

>>
AWS SCSよりCKSのが圧倒的にむずいやろ
AWSのは知識問題やけどCKSは実技やぞ

137：名無しの資格マニア

AWSのセキュリティは「どのサービス使いますか？」やけど、CKSは「動かないFalcoのルールデバッグしてね」「OPAのポリシー書いてね」やからな
体感難易度はCKSのが3倍高い

139：名無しの資格マニア

インフラエンジニア「k8s？あぁDockerの親戚ねw」
これ言ってたおじさんがCKSの試験問題見て泡吹いて倒れてた

141：名無しの資格マニア

実際Dockerだけ触ってたやつがk8s入ると概念多すぎて死ぬ

144：名無しの資格マニア

Pod、Service、Deployment、Ingress、ConfigMap、Secret、PV、PVC、StorageClass…
これらを全部理解した上でセキュリティやからな

147：名無しの資格マニア

Secretがbase64でエンコードされてるだけで暗号化されてないの、初見のとき騙されたわ

151：名無しの資格マニア

>>
それな
「Secret（秘密）」とか言いつつ誰でもデコードできるの草生える

155：名無しの資格マニア

だからこそ KMS と連携してエンベロープ暗号化するんやで
試験でもetcdの暗号化設定（EncryptionConfiguration）出まくるしな

157：名無しの資格マニア

etcdの暗号化設定ミスってapiserver起動しなくなるまでがテンプレ

160：名無しの資格マニア

お前ら優しすぎやろ
なんJの皮をかぶったQiitaか？

161：名無しの資格マニア

（アカン、インフラエンジニアの真面目な部分が出てしもた）

163：名無しの資格マニア

うおおおお！
とりあえず `kubectl apply -f https://raw.githubusercontent.com/...` 実行！ｗ

165：名無しの資格マニア

>>
野良マニフェストをパイプでapplyするな高校校歌

168：名無しの資格マニア

危険すぎて草
CKS落ちろ

172：名無しの資格マニア

コンテナの実行ユーザーは常に root！ｗ
特権コンテナ（privileged: true）最高！ｗ
ホストのパスをマウント（hostPath）！ｗ

174：名無しの資格マニア

セキュリティのデパートで草

176：名無しの資格マニア

脆弱性のフルコースやめろ

177：名無しの資格マニア

実際、開発チームから上がってくるマニフェストってだいたいそんな感じだよな
「動かないんで特権つけました！」

178：名無しの資格マニア

>>
セキュリティ担当ワイ、白目を剥いて承認ボタンを押す

179：名無しの資格マニア

>>
承認するな

183：名無しの資格マニア

CIS Benchmarkとかいうセキュリティのバイブル

186：名無しの資格マニア

CKS取ったら市場価値上がる？
転職エージェントからスカウト来まくる？

188：名無しの資格マニア

>>
ビズリーチのプラチナスカウトめちゃくちゃ来るで
なお面接で「で、実務ではどんな構成でやってました？」と聞かれて爆死する模様

189：名無しの資格マニア

>>
資格はあくまで足切り突破用やからな
でもCKS持ってる時点で技術オタクなのは伝わるからウケはいい

192：名無しの資格マニア

コンテナセキュリティはこれからのトレンドやしな
eBPFとかいう技術も流行り始めてるし

196：名無しの資格マニア

CKSの受験料高すぎひん？
今5万円超えてるやろ

198：名無しの資格マニア

>>
円安のせいでさらにエグいことになってる
1ドル150円やと7万円超えるんちゃうか

202：名無しの資格マニア

会社に金出させろ

206：名無しの資格マニア

>>
「落ちたら自腹ね」って言われてチキって受けられないンゴ…

208：名無しの資格マニア

一応、年に数回30〜40%オフのセールやるからそこを狙うんや
ブラックフライデーとかサイバーマンデーな

211：名無しの資格マニア

CKSの勉強してるとLinuxカーネルの知識も求められるから、インフラエンジニアとして地力がつくのは良いことやと思う

212：名無しの資格マニア

Linuxの capabilities とか cgroups とか namespaces とか
k8sって要するにLinuxカーネルの機能をいい感じにラップしてるだけやしな

215：名無しの資格マニア

お前ら急に賢くなるな

217：名無しの資格マニア

ワイ「よし、完璧に理解した。明日試験受けるで！」