K8s: 运行Pod时的root用户和非root用户的安全相关配置

关于 root 用户

1 ）概述

• docker 容器运行起来，默认是 root 用户
• 这样运行起来后，基本不会遇到权限相关问题
• 带来的问题是: 权限过大，被攻击后会遇到严峻挑战
• 基于这个问题，K8s提出了特权用户的概念
• 在容器启动时，虽然启动的是 root 用户，但是不具备所有root功能
• 只是一个映射的root用户，如果不开启 privilege 试图修改系统关键信息
• 是会报错的，加上 --privilege 之后，就是一个特权用户，就可以进行修改

2 ）正常场景

• $ docker run -it busybox sh
• $ whoami 这里显示 root
• $ id -u 0
• $ hostname db3437d25c87
• $ sysctl kernel.hostname=wwwwwwww sysctl: error setting key ‘kernel.hostname’: Read-only file system

3 ）启用 privileged

• $ docker run -it --privileged busybox sh
• $ sysctl kernel.hostname=wwwwwwww kernel.hostname = wwwwwwww
• $ hostname wwwwwwww

4 ）在 yaml 中配置 securityContext 和 privileged

apiVersion: v1
kind: Pod
metadata:
  name: nginx
spec:
  containers:
  - name: nginx
    image: nginx