![【Security Hub修復手順】[EKS.9] EKSノードグループは、サポートされているKubernetesバージョンで実行する必要があります](https://images.ctfassets.net/ct0aopd36mqt/wp-thumbnail-e71a738589e583b65670923628e8b6f4/45568b9fd457506bd2f3d6fd304d4b6a/aws-security-hub?w=3840&fm=webp)
【Security Hub修復手順】[EKS.9] EKSノードグループは、サポートされているKubernetesバージョンで実行する必要があります
こんにちは。クラスメソッドオペレーションズのkatsumataです。
当エントリでは、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。
本記事の対象コントロール
[EKS.9] EKSノードグループは、サポートされているKubernetesバージョンで実行する必要があります
[EKS.9] EKS node groups should run on a supported Kubernetes version
前提条件
本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。
対象コントロールの説明
EKSマネージドノードグループがスタンダードサポートのKubernetesバージョンで実行されているかどうかをチェックします。
ノードグループのKubernetesバージョンをスタンダードサポート対象のバージョンに更新すると、このコントロールは成功します。
拡張サポートのバージョンで稼働している場合もこのコントロールは非準拠となります。
スタンダードサポート終了後のバージョンで稼働し続けると、セキュリティパッチの適用遅延や、AWSサービス・コンテナイメージ・サードパーティツールとの互換性問題につながります。
拡張サポート期間中はAWSからセキュリティパッチが提供されますが、拡張サポートには追加料金が発生します。
さらに、拡張サポート終了後はAWSのタイミングで自動更新が行われ、更新タイミングをコントロールできません。
意図しない自動更新による影響を防ぐためにも、スタンダードサポート期間内での計画的な更新が必須です。
なお、類似のコントロールとしてEKS.2がありますが、EKS.2はクラスターのコントロールプレーンが対象です。
コントロールプレーンをアップグレードしてもノードグループは自動的にアップグレードされないため、EKS.9の解消には個別にノードグループを更新する必要があります。
修復手順
1. クラスターのコントロールプレーンをアップグレードする
2026年6月時点で、Kubernetesバージョン1.32は拡張サポート、1.33以降がスタンダードサポートです。本手順ではv1.32のクラスターをv1.33にアップグレードします。
ノードグループのバージョンはクラスターのコントロールプレーンと同じバージョンまでしかアップグレードできません。先にクラスターのコントロールプレーンを1.33にアップグレードします。
クラスター画面右上の「バージョンをアップグレード」を選択し、Kubernetesバージョン「1.33」を選択します。
アップグレードは1マイナーバージョンずつ行う必要があります。1.36や1.35などはグレーアウトされており、「最初に1.33へアップグレード」と表示されています。
アップグレードを実行すると、クラスター一覧でステータスが「更新中」になります。
更新が完了すると、Kubernetesバージョンが1.33、サポート期間が「標準サポート」に変わります。
2. ノードグループをアップグレードする
コントロールプレーンの更新完了後、ノードグループをアップグレードします。
対象クラスターの「コンピューティング」タブを開くと、ノードグループのAMIリリースバージョンに「今すぐ更新」が表示されています。
ノードグループの詳細画面右上の「今すぐ更新」を選択します。
更新ダイアログが表示されます。更新戦略を選択して「更新」を選択します。
更新戦略は2種類あります。
| 更新戦略 | 動作 | ユースケース |
|---|---|---|
| ローリング更新 | Pod Disruption Budget（PDB）を尊重。PDBによりドレインできない場合は更新失敗 | 本番環境（ワークロードへの影響を最小化） |
| 強制更新 | PDBを無視してノードを入れ替え | 迅速に更新したい場合・検証環境 |
更新が完了すると、ノードグループのKubernetesバージョンが1.33になります。
注意事項
- Kubernetesバージョンのアップグレードは1マイナーバージョンずつ行う必要があります（例: 1.31 → 1.32 → 1.33）
- コントロールプレーンのアップグレードが先、ノードグループのアップグレードが後の順序を守ってください
- 本番環境ではローリング更新を選択し、Pod Disruption Budgetを適切に設定しておくことを推奨します
- スタンダードサポート対象のバージョンはAWSによって更新されるため、最新の情報は公式ドキュメントを確認してください
参考
最後に
今回はEKS.9の修復手順として、EKSマネージドノードグループのKubernetesバージョンアップグレードを紹介しました。
コントロールプレーンとノードグループのアップグレードは別々に行う必要がある点にご注意ください。
どなたかのお役に立てれば幸いです。
