8、Kubernetes 工作负载运行时安全与可观测性

Kubernetes 工作负载运行时安全与可观测性

1. 工作负载运行时安全

1.1 Seccomp

Seccomp 禁止使用危险的系统调用，这些调用可能导致内核漏洞利用和容器逃逸。默认的 Docker 运行时 Seccomp 配置文件可供参考，但在编写本文时，Docker/default 配置文件已被弃用，建议使用 runtime/default 作为 Seccomp 配置文件。

在 Kubernetes 中通过 PSP 注解部署 Seccomp 配置文件的选项如下表所示：
| Value | Description |
| — | — |
| runtime/default | 默认容器运行时配置文件 |
| unconfined | 无 Seccomp 配置文件，此选项是 Kubernetes 中的默认设置 |
| localhost/ | 位于节点上的自定义配置文件，通常在 /var/lib/kubelet/seccomp 目录中 |

1.2 SELinux

近期，所有容器运行时突破（容器逃逸或权限提升）都与某种文件系统突破有关（如 CVE - 2019 - 5736、CVE - 2016 - 9962、CVE - 2015 - 3627 等）。SELinux 通过控制谁可以访问文件系统以及资源之间的交互来缓解这些问题。

SELinux 最初由美国国家安全局在 2000 年代初开发，主要用于基于 Red Hat 和 CentOS 的发行版。它提供了一种强制访问控制（MAC），增强了传统的 Linux 自主访问控制