Kubernetes スペシャリスト

このスキルの使用時機

• ワークロードのデプロイ（Deployments、StatefulSets、DaemonSets、Jobs）
• ネットワークの設定（Services、Ingress、NetworkPolicies）
• 設定の管理（ConfigMaps、Secrets、環境変数）
• 永続ストレージのセットアップ（PV、PVC、StorageClasses）
• アプリケーション パッケージング用の Helm チャートの作成
• クラスタとワークロードの問題のトラブルシューティング
• セキュリティのベストプラクティス実装

コアワークフロー

1. 要件の分析 — ワークロード特性、スケーリングニーズ、セキュリティ要件を理解する
2. アーキテクチャ設計 — ワークロードタイプ、ネットワークパターン、ストレージソリューションを選択する
3. マニフェスト実装 — 適切なリソース制限とヘルスチェックを含む宣言的YAML を作成する
4. セキュリティ適用 — RBAC、NetworkPolicies、Pod Security Standards、最小権限の原則を適用する
5. 検証 — kubectl rollout status、kubectl get pods -w、kubectl describe pod <name> を実行して健全性を確認し、必要に応じて kubectl rollout undo でロールバックする

リファレンスガイド

コンテキストに基づいて詳細なガイダンスを読み込みます：

トピック	リファレンス	読み込むタイミング
ワークロード	references/workloads.md	Deployments、StatefulSets、DaemonSets、Jobs、CronJobs
ネットワーキング	references/networking.md	Services、Ingress、NetworkPolicies、DNS
設定	references/configuration.md	ConfigMaps、Secrets、環境変数
ストレージ	references/storage.md	PV、PVC、StorageClasses、CSI ドライバ
Helm チャート	references/helm-charts.md	チャート構造、値、テンプレート、フック、テスト、リポジトリ
トラブルシューティング	references/troubleshooting.md	kubectl debug、ログ、イベント、一般的な問題
カスタムオペレータ	references/custom-operators.md	CRD、Operator SDK、controller-runtime、リコンシリエーション
サービスメッシュ	references/service-mesh.md	Istio、Linkerd、トラフィック管理、mTLS、カナリア
GitOps	references/gitops.md	ArgoCD、Flux、プログレッシブデリバリー、シール済みシークレット
コスト最適化	references/cost-optimization.md	VPA、HPA チューニング、スポットインスタンス、クォータ、適切なサイジング
マルチクラスタ	references/multi-cluster.md	Cluster API、フェデレーション、クロスクラスタネットワーク、DR

制約事項

必須項目

• 宣言的な YAML マニフェストを使用する（命令型 kubectl コマンドは避ける）
• すべてのコンテナにリソースリクエストと制限を設定する
• ライブネスプローブとレディネスプローブを含める
• 機密データにはシークレットを使用する（認証情報をハードコードしない）
• 最小権限の RBAC パーミッションを適用する
• ネットワークセグメンテーション用に NetworkPolicies を実装する
• 論理的な分離のために名前空間を使用する
• 組織化のためにリソースに一貫性のあるラベルを付ける
• 設定の決定をアノテーションで文書化する

禁止事項

• リソース制限なしで本番環境にデプロイしない
• ConfigMaps またはプレーンな環境変数にシークレットを格納しない
• アプリケーション Pod にデフォルト ServiceAccount を使用しない
• 制限なしのネットワークアクセスを許可しない（デフォルトですべて許可）
• 正当な理由がないかぎり root としてコンテナを実行しない
• ヘルスチェック（ライブネス/レディネスプローブ）をスキップしない
• 本番環境の画像に latest タグを使用しない
• 不要なポートやサービスを公開しない

一般的な YAML パターン

リソース制限、プローブ、セキュリティコンテキスト付き Deployment

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app
  namespace: my-namespace
  labels:
    app: my-app
    version: "1.2.3"
spec:
  replicas: 3
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
        version: "1.2.3"
    spec:
      serviceAccountName: my-app-sa   # never use default SA
      securityContext:
        runAsNonRoot: true
        runAsUser: 1000
        fsGroup: 2000
      containers:
        - name: my-app
          image: my-registry/my-app:1.2.3   # never use latest
          ports:
            - containerPort: 8080
          resources:
            requests:
              cpu: "100m"
              memory: "128Mi"
            limits:
              cpu: "500m"
              memory: "512Mi"
          livenessProbe:
            httpGet:
              path: /healthz
              port: 8080
            initialDelaySeconds: 15
            periodSeconds: 20
          readinessProbe:
            httpGet:
              path: /ready
              port: 8080
            initialDelaySeconds: 5
            periodSeconds: 10
          securityContext:
            allowPrivilegeEscalation: false
            readOnlyRootFilesystem: true
            capabilities:
              drop: ["ALL"]
          envFrom:
            - secretRef:
                name: my-app-secret   # pull credentials from Secret, not ConfigMap

最小限の RBAC（最小権限）

apiVersion: v1
kind: ServiceAccount
metadata:
  name: my-app-sa
  namespace: my-namespace
---
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: my-app-role
  namespace: my-namespace
rules:
  - apiGroups: [""]
    resources: ["configmaps"]
    verbs: ["get", "list"]   # grant only what is needed
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: my-app-rolebinding
  namespace: my-namespace
subjects:
  - kind: ServiceAccount
    name: my-app-sa
    namespace: my-namespace
roleRef:
  kind: Role
  name: my-app-role
  apiGroup: rbac.authorization.k8s.io

NetworkPolicy（デフォルト拒否 + 明示的な許可）

# デフォルトではすべてのイングレスとエグレスを拒否
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
  namespace: my-namespace
spec:
  podSelector: {}
  policyTypes: ["Ingress", "Egress"]
---
# 特定のトラフィックのみを許可
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-my-app
  namespace: my-namespace
spec:
  podSelector:
    matchLabels:
      app: my-app
  policyTypes: ["Ingress"]
  ingress:
    - from:
        - podSelector:
            matchLabels:
              app: frontend
      ports:
        - protocol: TCP
          port: 8080

検証コマンド

デプロイ後、健全性とセキュリティ体勢を確認します：

# ロールアウトの完了を監視
kubectl rollout status deployment/my-app -n my-namespace

# Pod イベントをストリーム配信してクラッシュループやイメージプル エラーをキャッチ
kubectl get pods -n my-namespace -w

# 特定の Pod を検査して障害を確認
kubectl describe pod <pod-name> -n my-namespace

# コンテナログを確認
kubectl logs <pod-name> -n my-namespace --previous   # use --previous for crashed containers

# リソース使用状況を制限と照らし合わせて検証
kubectl top pods -n my-namespace

# サービスアカウントの RBAC パーミッションを監査
kubectl auth can-i --list --as=system:serviceaccount:my-namespace:my-app-sa

# 失敗したデプロイをロールバック
kubectl rollout undo deployment/my-app -n my-namespace

出力テンプレート

Kubernetes リソースを実装する場合は、以下を提供します：

1. 適切な構造を備えた完全な YAML マニフェスト
2. 必要に応じて RBAC 設定（ServiceAccount、Role、RoleBinding）
3. ネットワーク分離用の NetworkPolicy
4. 設計上の決定とセキュリティに関する考慮事項の簡潔な説明