Amazon EKS Auto Mode が Pod レベルのセキュリティグループ適用をサポート

Amazon EKS Auto Mode において、個々の Pod に対して専用の Amazon EC2 セキュリティグループを適用できる「Security Groups for Pods」機能がサポートされました。これにより、同一ノード上で異なるセキュリティ要件を持つワークロードを共存させつつ、ネットワークレベルのセグメンテーションを実現できます。管理には SecurityGroupPolicy リソースを使用し、Kubernetes バージョン 1.36 以降のクラスターで利用可能です。本機能は EKS Auto Mode の一部として提供されるため、追加料金は発生しません。

ネットワーク分離の運用負荷を大幅に軽減

これまで、Pod レベルで厳格なネットワーク分離を実現しようとすると、ワークロードごとに個別のノードプールを作成して物理的に分離する必要があり、リソースの断片化や運用コストの増大が招かれていました。今回のアップデートにより、「ノードを分けるのではなく、Pod ごとにセキュリティグループを適用する」 というアプローチが可能になり、リソース効率とセキュリティの両立が実現します。

🇯🇵 日本国内リージョンの利用状況

リサーチ結果に基づくと、東京 (ap-northeast-1) および 大阪 (ap-northeast-3) リージョンにおいて、Amazon EKS Auto Mode の提供状況に基づき利用可能であることが確認されています。EKS Auto Mode がサポートされているすべてのリージョンで本機能も利用可能です。

💡 運用のポイントとアドバイス

• 最小権限の原則: Pod が RDS や ElastiCache などの VPC リソースへアクセスする際、既存の VPC セキュリティグループ設計に基づき、Pod 単位で必要な通信のみを許可する設定が推奨されます。
• コスト面: EKS Auto Mode の一部として提供されるため、追加コストなしで導入できる点は非常に強力です。
• フォールバック動作: SecurityGroupPolicy に一致しない Pod は、引き続きホストノードのセキュリティグループを使用するため、既存の環境への影響を最小限に抑えつつ段階的な移行が可能です。

🚀 次のアクション

まずは、Kubernetes 1.36 以降のクラスター環境で SecurityGroupPolicy リソースの定義方法を確認し、特定のテスト用 Pod に対してセキュリティグループを適用する PoC を実施することをお勧めします。

参照資料: Amazon EKS User Guide - Security groups for Pods https://docs.aws.amazon.com/eks/latest/userguide/auto-sgp.html