KCSA（Kubernetes and Cloud Native Security Associate）の勉強方法と試験対策
最終更新：2026-08-01
KCSAはどんな試験か
KCSA（Kubernetes and Cloud Native Security Associate）は、CNCF（Cloud Native Computing Foundation）とLinux Foundationが提供するクラウドネイティブセキュリティの入門レベル認定です。「どこにどんなリスクがあり、Kubernetesのどの機能がそれを緩和するのか」を体系的に理解しているかを問います。
位置づけの鍵は、KCNAとCKSとの関係です。KCNA（Kubernetes and Cloud Native Associate）がKubernetes全般の入門であるのに対し、KCSAはそのセキュリティ領域を掘り下げた姉妹資格にあたります。前提条件はないためKCSAから受験できますが、Pod・Deployment・kubeletといった基本用語は説明なしで登場します。
一方のCKS（Certified Kubernetes Security Specialist）は、実際のクラスタを操作するパフォーマンスベースの上位資格です。KCSAはCKSへ進む前に用語と概念を整理するステップとして機能し、CKS合格でKCSAが自動更新される連続したパスとして設計されています。
試験の基本情報
| 項目 | 内容 |
|---|---|
| 正式名称 | Kubernetes and Cloud Native Security Associate（KCSA） |
| 提供元 | CNCF / Linux Foundation |
| 受験料 | 250 USD（公式サイトの定価。再受験1回分を含む） |
| 試験時間 | 90分 |
| 出題形式 | 多肢選択式 |
| 合格ライン | 75％以上（Linux Foundationの多肢選択式試験共通） |
| 受験方式 | オンライン・リモート監督（プロクタリング） |
| 提供言語 | 英語のみ |
| 前提条件 | なし |
| 再受験 | 1回分が受験料に含まれる（計2回の受験機会） |
| 受験資格期間 | 購入から12か月 |
| 認定の有効期間 | 2年（CKSの取得・再認定でKCSAも現行扱いに更新＝CNCFのCAREプログラム） |
出題数は公式ページで明示されていません。試験は専用のブラウザ環境を使い、Webカメラ・マイク・画面を通じて監督者が遠隔で監視するリモート方式です。監督者とのやり取りは英語で行われます。受験環境の要件は事前に公式の受験ハンドブックで確認してください。
いちばん大きな注意点は、提供言語が英語のみである点です。KCNAには日本語版がありますが、KCSAにはありません。日本語の教材だけで進めると、本番で「知っているはずの概念が英語だと読み取れない」という事態が起こりがちです。
本記事の情報は2026年8月時点のものです。最新の情報は公式サイト（Linux Foundation Training — KCSA / CNCF — KCSA）でご確認ください。
出題範囲
出題範囲は6ドメインに分かれ、配分は公式カリキュラム（cncf/curriculum）で公開されています。上位2ドメインで44％を占めるため、学習時間もそこを厚くするのが定石です。
クラウドネイティブセキュリティ概要（14％）
全体の見取り図を扱います。中心は4C（Cloud、Cluster、Container、Code）という多層モデルで、外側の層が内側の層の前提になる（クラウド基盤が侵害されればクラスタ内の対策は意味をなさない）という考え方を押さえます。ほかにクラウドプロバイダとインフラのセキュリティ、統制とフレームワーク、分離技術、アーティファクトリポジトリとイメージのセキュリティ、ワークロードとアプリケーションコードのセキュリティが含まれます。
クラスタコンポーネントのセキュリティ（22％）
APIサーバー、コントローラマネージャー、スケジューラ、kubelet、コンテナランタイム、kube-proxy、Pod、etcd、コンテナネットワーク、クライアントのセキュリティ（kubeconfigの扱いなど）、ストレージが対象です。「侵害されると何ができてしまうのか」から逆算すると定着します。たとえばetcdはSecretを含む全クラスタ状態を保持するため暗号化とアクセス制限が要となり、kubeletの匿名アクセスは無効化すべき設定である、といった具合です。
Kubernetesセキュリティの基礎（22％）
日々の運用で実際に設定する機能群です。Pod Security Standards（Privileged／Baseline／Restrictedの3プロファイル）と、それをNamespace単位で強制するPod Security Admission（enforce／audit／warnの3モード）が中核概念です。ほかに認証方式、Secretと保存時の暗号化、Namespaceやノードによる分離、監査ログ、NetworkPolicyが含まれます。NetworkPolicyは「あるPodにポリシーが1つでも適用されると、そのポリシーが扱う方向（Ingress／Egress）については、許可した通信以外がすべて拒否される」という挙動が要点です。逆に、どのポリシーにも選択されていないPodや、ポリシーが扱っていない方向の通信は制限されません。NetworkPolicyを強制するのはCNIプラグインであるため、対応していないCNIではリソースを作成しても効果がない点も押さえましょう。
Kubernetes脅威モデル（16％）
攻撃者の視点でクラスタを捉えます。信頼境界とデータフローの把握を出発点に、永続化、サービス拒否（DoS）、コンテナ内での悪意あるコード実行、ネットワーク上の攻撃者、機微データへのアクセス、権限昇格を扱います。「hostPathマウントやprivilegedコンテナがなぜ権限昇格につながるのか」を因果関係で説明できる状態にすると、初見の設問にも対応しやすくなります。
プラットフォームセキュリティ（16％）
サプライチェーンセキュリティ（署名や来歴による完全性）、イメージリポジトリ、オブザーバビリティ、サービスメッシュ（mTLS）、PKI、コネクティビティ、Admission Controlが対象です。Admission Controllerが検証（Validating）と変更（Mutating）に分かれ、認証・認可を通過した後に評価されるという処理順序は確認しておきましょう。
コンプライアンスとフレームワーク（10％）
配分は小さいものの、用語を知らないと手も足も出ないため取りこぼしやすい領域です。コンプライアンスフレームワーク、脅威モデリング（STRIDEなど）、サプライチェーンのコンプライアンス、自動化とツールが対象で、CISベンチマークと点検ツールkube-benchのように定番の名前と役割を結び付けておきましょう。
勉強法・学習ロードマップ
目安期間は、Kubernetesの基本操作に慣れている方で3〜4週間（20〜40時間）、Kubernetes自体が初めての方は2か月程度（60〜80時間）です。
ステップ1：前提となるKubernetesの基礎を固める
Pod・Deployment・Service・Namespaceといったリソースと、コントロールプレーン／ノードの役割分担を説明できる状態にします。ここが曖昧なままセキュリティに入ると用語の暗記になるため、minikubeやkindでローカルクラスタを立てて触りながら進めましょう。
ステップ2：公式ドキュメントのセキュリティ章を通読する
Kubernetes公式ドキュメントは無料で、試験範囲との対応も良好です。
- Security / Cloud Native Security（4Cモデル）
- Pod Security Standards / Pod Security Admission
- RBAC / Network Policies / Secrets
- Auditing / Security Checklist
全体像の補強にはCNCF TAG SecurityのCloud Native Security Whitepaper、コンプライアンス領域にはCIS Kubernetes Benchmarkとkube-benchが有用です。Introduction to Zero Trust（LFS183）もLinux Foundationが無料で提供しています。
ステップ3：手を動かして挙動を確認する
読むだけでは残りにくい項目は、ローカルクラスタで再現すると理解が進みます。restrictedに違反するPodがPod Security Admissionで拒否されること、デフォルト拒否のNetworkPolicyで通信が遮断されること、権限を絞ったRoleの効果をkubectl auth can-iで確かめること。この程度の小さな実験で十分です。
ステップ4：演習で弱点を洗い出し、英語に慣れる
仕上げは問題演習です。ドメイン別の正答率を見て、配分の大きい2ドメインの取りこぼしを重点的に潰します。合格ラインが75％と高めのため、模擬演習では85％前後を安定して取れる状態を目標にしましょう。
そしてKCSA特有の準備が英語対策です。英語力そのものを鍛える必要はなく、頻出表現に慣れれば足ります。「Which of the following is the least privileged…」のような限定表現や、Pod Security Standardsのプロファイル名といった公式用語は英語のまま覚えるのが近道です。当サイト「トキヌク」のKCSA対策問題集を日英切り替え可能にしているのも同じ理由からです。
よくある質問
Q. KCSAは日本語で受験できますか？
A. 2026年8月時点で、KCSAの提供言語は英語のみです。同じ入門レベルのKCNAには日本語版がありますが、KCSAには用意されていないため、英語の設問を読んで解く前提で準備する必要があります。
Q. KCNAを先に取得すべきですか？
A. 必須ではありません。KCSAに前提条件はなく、いきなり受験できます。ただしPod・Deployment・kubeletといった基本用語を前提に出題されるため、実務経験が少ない方はKCNAの範囲を先に押さえると理解が早くなります。
Q. KCSAとCKSは何が違いますか？
A. KCSAは知識を問う多肢選択式のアソシエイト（入門）レベル、CKSは実際のクラスタを操作するパフォーマンスベースのプロフェッショナルレベルです。CKSに合格するとKCSAの認定が自動更新される関係にあります。
Q. どのくらいの勉強時間が必要ですか？
A. Kubernetesの基本操作に慣れている方で20〜40時間、Kubernetes自体が初めての方は基礎学習を含めて60〜80時間が一つの目安です。時間よりも模擬演習の正答率で仕上がりを判断しましょう。
Q. 不合格でも再受験できますか？
A. 受験料には再受験1回分が含まれており、合計2回の受験機会があります。購入から12か月の受験資格期間が設けられているため、その範囲内で受験日を調整できます。
KCSAの問題演習はトキヌクで
トキヌクはKCSA対策のオリジナル問題を全200問収録（30問は登録なしで無料）。全選択肢に「なぜ正解か・なぜ違うか」の解説付きで、弱点テーマに合わせた出題で効率よく仕上げられます。
KCSAの演習を無料で始める →本記事は学習の参考情報であり、合格を保証するものではありません。試験の仕様（受験料・出題範囲等）は変更されることがあります。必ず公式サイトで最新情報をご確認ください。本サービスは非公式の学習教材であり、各認定団体とは提携・承認・後援関係にありません。試験名は各団体の商標または登録商標です。
トキヌク トップページへ