こんにちは。オブザーバビリティの世界へようこそ。
あなたは今、Prometheusという強力な武器を手に入れようとしています。しかし、一つだけ覚えておいてください。「システムを監視するツール自身が、最も警戒すべきセキュリティホールになる」という皮肉な現実を。
監視ツールは、クラスタ内のあらゆる情報を吸い上げる「特権階級」です。もしPrometheusが乗っ取られたら？ あなたのシステムの中身は筒抜けになり、攻撃者はあなたのインフラを意のままに操る鍵を手に入れることになります。
今日は、初心者の方がPrometheusを導入する際に必ず押さえておくべき「守りの要」について、現場の知見を詰め込んで解説します。
—
1. Prometheus：監視システムの心臓部を理解する
Prometheusは、時系列データ（メトリクス）を収集する「時系列データベース」と「データ収集エンジン」を兼ね備えたツールです。
- 役割: クラスタ内の全コンテナが「今、どれくらい忙しいか」「エラーは出ていないか」を定期的に巡回（スクレイピング）して記録します。
- なぜセキュリティが重要か: Prometheusは、KubernetesのAPIに対して「クラスタ内のリソース情報を教えろ」と要求します。この権限が強すぎると、悪意あるコードがPrometheusを経由してクラスタを破壊するリスクが生まれます。
—
2. インストールと「HelloWorld」：最小の安全圏
まずは、Kubernetes上でPrometheusを最小構成で動かしてみましょう。まずはセキュリティの基礎である「権限の最小化」から始めます。
ステップA：RBAC（Role-Based Access Control）の設定
Prometheusに「必要最低限の権限」だけを与えます。`ClusterRole` を使って、情報の取得（get, list, watch）のみを許可します。
prometheus-rbac.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
name: prometheus-role
rules:
- apiGroups: [“”]
resources: [“nodes”, “pods”, “services”, “endpoints”] # 必要なものだけ指定
verbs: [“get”, “list”, “watch”] # 変更や削除は許可しない！
ステップB：WebUIを外部から守る
デフォルトのPrometheus WebUIは、認証がありません。公開するのは自殺行為です。Ingressコントローラー側でBasic認証をかけるか、Prometheusの前にOAuthプロキシを配置してください。
—
3. 【重要】脆弱性を防ぐための「現場の鉄則」
現場で生き残るために、以下の3点は必ず守ってください。
① 環境変数に機密情報（Secrets）を直書きしない
APIトークンやデータベースのパスワードを `prometheus.yml` に直接書くのは厳禁です。Kubernetesの `Secret` オブジェクトを使い、環境変数としてマウントしましょう。
deployment.yamlの一部
env:
- name: API_TOKEN
valueFrom:
secretKeyRef:
name: my-secret
key: prometheus-token
② PrometheusのWebUIをインターネットに公開しない
「設定を確認したいだけ」でも、ポートフォワーディング（`kubectl port-forward`）を使うのが正解です。ローカル端末から一時的にトンネルを掘り、用が済んだら閉じる。これだけで攻撃面は劇的に減ります。
③ ノード・エクスポーターへのアクセス制限
ノードのメトリクスを収集する `node_exporter` も標的になりやすいです。必ず `–web.config.file` を使用して、TLS暗号化とBasic認証を有効化してください。
—
4. 精度高い「HelloWorld」：動作確認の極意
インストールできたら、以下のクエリ（PromQL）を叩いてみてください。これが正常に動けば、あなたの監視システムは正しく機能しています。
- ターゲットの稼働確認: `up{job=”kubernetes-nodes”} == 1`
- これが「1」であれば、監視対象は生きています。
- エラーの予兆検知: `rate(http_requests_total{status=~”5..”}[5m]) > 0`
- 過去5分間で500番台のエラーが1件でも発生すれば検知します。これが動けば、あなたはシステムが死ぬ前に気づくことができます。
—
先輩エンジニアからのアドバイス
オブザーバビリティは「ただ見ること」ではありません。「信頼できるデータに基づき、自信を持ってシステムを運用すること」です。
セキュリティを「面倒なこと」と捉えず、「あなたの作った素晴らしいシステムを守るための防壁」と考えてください。まずはRBACの設定から。それができれば、あなたはすでに他のエンジニアより一歩先を行っています。
何か困ったことがあれば、いつでも聞いてください。さあ、安全で快適な監視ライフを始めましょう！