kubernets CKS 4.1 Pod安全上下文(一)

cloud_engineer

已于 2022-07-15 09:50:42 修改

阅读量1.2k

点赞数

CC 4.0 BY-SA版权

分类专栏： kubernetes CKS 文章标签：安全 docker flask kubernetes 云原生

于 2022-07-10 18:46:58 首次发布

本文链接：https://blog.youkuaiyun.com/cloud_engineer/article/details/125709318

kubernetes CKS 专栏收录该内容

9 篇文章

订阅专栏

本文介绍了Kubernetes安全上下文（SecurityContext）中的多种安全机制，如自主访问控制、SELinux、AppArmor、Seccomp等，用于限制容器的权限和系统调用。通过示例展示了如何以普通用户和root用户运行Docker镜像，并讨论了如何禁止容器进程的权限提升和只读根文件系统。最后提到了将镜像推送到Dockerhub的操作。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

上一篇： kubernets CKS 3.3 Seccomp 限制容器进程系统调用

安全上下文（Security Context）：K8s对Pod和容器提供的安全机制，可以设置Pod特权和访问控制。

4.1.1 安全上下文限制维度

•自主访问控制（Discretionary Access Control）：基于用户ID（UID）和组ID（GID），来判定对对象（例如文件）的访问权限。
•安全性增强的Linux（SELinux）：为对象赋予安全性标签。
•以特权模式或者非特权模式运行。
•Linux Capabilities: 为进程赋予root 用户的部分特权而非全部特权。
•AppArmor：定义Pod使用AppArmor限制容器对资源访问限制
•Seccomp：定义Pod使用Seccomp限制容器进程的系统调用
•AllowPrivilegeEscalation：禁止容器中进程（通过SetUID 或SetGID 文件模式）获得特权提升。当容器以特权模式运行或者具有CAP_SYS_ADMIN能力时，AllowPrivilegeEscalation总为True。
•readOnlyRootFilesystem：以只读方式加载容器的根文件系统。

4.1.2 docker例子以普通用户运行的镜像

以root运行的镜像

# cat Dockerfile 
FROM python
RUN mkdir /data/www -p
COPY . /data/www
RUN pip install flask -i https://mirrors.aliyun.com/pypi/simple/ && \
    pip install prometheus_client -i https://mirrors.aliyun.com/pypi/simple/
WORKDIR /data/www
CMD python main.py

以python用户运行的镜像

# cat Dockerfile 
FROM python
RUN useradd python
RUN mkdir /data/www -p
COPY . /data/www
RUN chown -R python /data
RUN pip install flask -i https://mirrors.aliyun.com/pypi/simple/ && \
    pip install prometheus_client -i https://mirrors.aliyun.com/pypi/simple/
WORKDIR /data/www
USER python
CMD python main.py

制作镜像后运行容器：

docker build -t flask-demo-v1 .
docker build -t flask-demo-v2 .
docker run -d flask-demo-v1
docker run -d flask-demo-v2

以root运行的进程：

[root@k8s1 flask-demo]# ps -ef | grep main
root     109387  13828  0 18:28 pts/0    00:00:00 grep --color=auto main
root     116491 116461  0 18:19 ?        00:00:00 /bin/sh -c python main.py
root     116654 116491  0 18:19 ?        00:00:00 python main.py

以python运行的进程：(系统必须有一个python账号，没有显示id1000运行)

[root@k8s1 flask-demo]# ps -ef | grep main
python    96675  96648  0 21:22 ?        00:00:00 /bin/sh -c python main.py
python    96777  96675  0 21:22 ?        00:00:00 python main.py

将2个镜像打上tag上传到docker hub

docker tag flask-demo-v1 wangjinxiong/flask-demo:root
docker tag flask-demo-v2 wangjinxiong/flask-demo:noroot
docker push wangjinxiong/flask-demo:root
docker push wangjinxiong/flask-demo:noroot