AWS Batch on Amazon EKS で Linux capabilities, seccomp, および Pod レベルの設定が可能に

AWS Batch の Amazon EKS ジョブ定義において、Kubernetes のセキュリティコンテキスト設定が拡張されました。これにより、Linux capabilities、seccomp プロファイル、および Pod レベルのセキュリティ設定（fsGroup など）を定義できるようになりました。コンテナレベルの設定は Pod レベルの設定をオーバーライドします。本機能は、AWS Batch が利用可能なすべての AWS リージョンで提供されており、東京リージョンおよび大阪リージョンでも利用可能です。

🛠️ エンジニアへの影響と活用シーン

これまで、Kubernetes の Pod Security Standards (PSS) 「restricted」プロファイル を強制している EKS クラスター上で AWS Batch ジョブを実行する場合、権限やシステムコールの制御が厳厳しく、ジョブの実行が困難という課題がありました。今回のアップデートにより、ジョブに必要な最小限の権限のみを許可する設定をジョブ定義に含めることができるため、高セキュリティな EKS 環境でも AWS Batch を安全かつ柔軟に運用できる ようになります。

🇯🇵 日本国内リージョンの状況

リサーチの結果、本機能は 東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) の両方で利用可能です。国内のエンタープライズ環境や、コンプライアンス要件が厳しいプロジェクトでも安心して導入を検討できます。

💡 実務上のアドバイス

• 最小権限の原則: コンテナレベルで capabilities や seccompProfile を適切に設定することで、セキュリティ強度を高めつつ、ジョブブロードキャストの失敗を防ぐことができます。
• 設定の優先順位: コンテナレベルの設定が Pod レベルの設定を上書き（オーバーライド）することを念頭に置いて設計してください。
• 管理方法: AWS Management Console, AWS CLI, AWS SDK, CloudFormation を通じて設定可能です。既存のジョブ定義の管理方法に合わせて選択してください。

🚀 次のアクション

まずは、既存の AWS Batch on EKS ジョブ定義の RegisterJobDefinition API を確認し、securityContext の 設定が要件を満たしているか、検証環境で検証することをお勧めします。

参照: AWS Batch User Guide (Amazon EKS properties section) https://docs.aws.amazon.com/batch/latest/userguide/job_definition_parameters.html#job-definition-parameters-eks-properties