使用Pod安全上下文加固自托管代理

最新推荐文章于 2025-11-24 17:47:29 发布

原创最新推荐文章于 2025-11-24 17:47:29 发布 · 857 阅读

7 ·

CC 4.0 BY-SA版权

文章标签：

#安全

理解Pod安全上下文

Pod安全上下文（Security Context）是Kubernetes中用于定义Pod或容器级别的权限和访问控制的机制。通过配置安全上下文，可以限制容器的运行权限，例如以非root用户运行、禁用特权模式等，从而减少潜在的安全风险。

配置非root用户运行容器

在Pod或容器级别设置runAsNonRoot: true，强制容器以非root用户运行。示例配置如下：

securityContext:
  runAsNonRoot: true
  runAsUser: 1000
  runAsGroup: 3000

runAsUser和runAsGroup指定了具体的用户和组ID，需确保镜像中已存在该用户。

禁用特权模式

特权模式（Privileged Mode）会赋予容器几乎所有的宿主机权限。通过设置privileged: false禁用特权模式：

securityContext:
  privileged: false

限制Linux能力（Capabilities）

Linux能力（Capabilities）是更细粒度的权限控制机制。默认情况下，容器会启用部分能力（如CHOWN、NET_RAW等）。可以通过capabilities.drop移除不需要的能力：

securityContext:
  capabilities:
    drop:
      - ALL
    add:
      - NET_BIND_SERVICE

上述配置移除了所有能力，仅保留NET_BIND_SERVICE（允许绑定到特权端口）。

启用只读根文件系统

将容器的根文件系统设置为只读（readOnlyRootFilesystem: true），防止恶意进程修改文件系统：

securityContext:
  readOnlyRootFilesystem: true

若某些目录需要写入权限（如/tmp），可通过emptyDir卷挂载：

volumeMounts:
  - name: tmp-volume
    mountPath: /tmp
volumes:
  - name: tmp-volume
    emptyDir: {}

使用Seccomp和AppArmor

Seccomp和AppArmor是Linux内核级别的安全机制，用于限制容器进程的系统调用和行为。

Seccomp：通过配置文件限制系统调用。Kubernetes默认提供runtime/default配置文件：

securityContext:
  seccompProfile:
    type: RuntimeDefault

AppArmor：需在宿主机上加载配置文件，并在Pod中指定：

annotations:
  container.apparmor.security.beta.kubernetes.io/<container-name>: localhost/<profile-name>

限制Pod的服务账户

Kubernetes中每个Pod默认关联一个服务账户（ServiceAccount）。通过以下方式限制其权限：

禁用自动挂载默认服务账户的令牌：

automountServiceAccountToken: false

为Pod分配最小权限的服务账户，并通过RBAC限制其访问权限。

启用PodSecurityPolicy（PSP）或PodSecurity Admission

PodSecurityPolicy（PSP）：集群级别的资源，用于定义Pod的安全标准（已逐步弃用，推荐使用PodSecurity Admission）。

PodSecurity Admission：Kubernetes 1.22+内置的替代方案，通过标签定义Pod的安全级别（如restricted、baseline）：

apiVersion: v1
kind: Namespace
metadata:
  labels:
    pod-security.kubernetes.io/enforce: restricted

网络策略加固

通过NetworkPolicy限制Pod的网络通信，仅允许必要的入站和出站流量：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-specific-traffic
spec:
  podSelector:
    matchLabels:
      app: my-proxy
  policyTypes:
    - Ingress
    - Egress
  ingress:
    - from:
        - podSelector:
            matchLabels:
              role: client
      ports:
        - protocol: TCP
          port: 8080
  egress:
    - to:
        - ipBlock:
            cidr: 10.0.0.0/24
      ports:
        - protocol: TCP
          port: 80