禁止K8S容器内子进程拥有提升权限的能力

最新推荐文章于 2024-09-22 12:43:48 发布
最新推荐文章于 2024-09-22 12:43:48 发布
阅读量270 收藏 1
点赞数
CC 4.0 BY-SA版权
分类专栏： Kubernetes 文章标签： kubernetes 容器 docker
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/fushan2012/article/details/123371105

介绍

  • 通过禁止容器内子进程拥有提升权限的能力，可以降低被容器中的恶意进程实现越权操作的风险。
  • 如果确认当前工作负载确实需要允许容器内子进程拥有提升权限的能力的话，可以忽略此配置。

解决方案

修改工作负载的 Pod Spec 中的 securityContext定义，增加 allowPrivilegeEscalation: false配置。

配置示例

# Pod Spec (container configuration)
securityContext:
  allowPrivilegeEscalation: false

参考文章

k8s必知必会
哇哦~
01-27 540
目录 1、简述etcd及其特点 2、简述etcd适应的场景 3、简述什么是Kubernetes 4、简述Kubernetes和Docker的关系 5、简述Minikube、Kubectl、Kubelet分别是什么 6、简述Kubernetes常见的部署方式 7、简述Kubernetes如何实现集群管理 8、简述Kubernetes的优势、适应场景及其特点 9、简述Kubernetes的缺点或当前的不足之处 10、简述Kubernetes相关基础概念 11、简述Kubernetes集群相
Kubernetes实战（十八）-共享卷子路径划分（Subpath）
专注基础架构领域
08-21 2366
在Pod中共享卷以供多方使用是很有用的。VolumeMounts.subPath属性可用于指定所引用的卷内的子路径，而不是其根路径 1个Pod中可以有多个容器，这里将不同容器的路径挂载在存储卷volume的子路径，这种场景需要使用到subpath； volume支持将configMap/secret挂载到容器的路径，但是会覆盖容器路径下原有的文件。如何支持选定configmap/secret的key-value挂载到容器中，且不会覆盖掉原目录下的文件，这个时候可以用subpath。 1、存储卷挂载
k8s 一个容器启动多个阻塞进程
zhd930818的博客
04-21 3191
更多kubernetes文章：k8s专栏目录本文记录了一个容器中同时启动tensorboard服务以及jupyter notebook服务，两个阻塞服务的过程。思路：在原有容器启动jupyter的基础上再启动tensorboard即可。尝试1.启动 tensorboard即可发现tensorboard启动成功，jupyter没有启动。原因是增加command命令后覆盖了原有的jupyter启动命令...
严重: 子容器启动失败_k8s使用Job执行任务失败了怎么办
weixin_39921023的博客
12-03 549
Kubernetes 中使用 Job 和 CronJob 两个资源分别提供了一次性任务和定时任务的特性，这两种对象也使用控制器模型来实现资源的管理，我们在这篇文章来介绍Job执行如果失败了会怎么样呢？修改job-fail.yaml，故意引入一个错误：Never如果将 restartPolicy 设置为 Never 会怎么样？下面我们实践一下，修改job-fail.yaml后重新启动。运行 Job ...
K8s进阶6——pod安全上下文、Linux Capabilities、OPA Gatekeeper、gvisor_allowprivilegeescalation和privileged
2401_87198828的博客
09-19 2662
2.测试一，当创建deployment资源时，没有匹配到“securityContext.privileged: true” 字段，说明该容器没有启用特权，可以正常创建，没有违反约束，所以最后可以正常创建deploy。2.再使用runsc创建一个容器，进入查看容器里的内核不再是宿主机的内核版本，而是gvisor自己模拟的内核，容器内所有的命令操作系统调用都是发送给模拟出来的内核，然后有它再转发到实际的宿主机内核。1.先用默认的runc创建一个容器，进去查看容器内核版本，现实的是宿主机的内核版本。
K8s进阶6——pod安全上下文、Linux Capabilities、OPA Gatekeeper、gvisor_allowprivilegeescalation和privileged(1)
2401_87298823的博客
09-22 1630
2.测试一，当创建deployment资源时，没有匹配到“securityContext.privileged: true” 字段，说明该容器没有启用特权，可以正常创建，没有违反约束，所以最后可以正常创建deploy。2.再使用runsc创建一个容器，进入查看容器里的内核不再是宿主机的内核版本，而是gvisor自己模拟的内核，容器内所有的命令操作系统调用都是发送给模拟出来的内核，然后有它再转发到实际的宿主机内核。1.先用默认的runc创建一个容器，进去查看容器内核版本，现实的是宿主机的内核版本。
Kubernetes 最佳安全实践指南
小楼一夜听春雨，深巷明朝卖杏花
07-12 2300
在 Kubernetes 中安全地运行工作负载是很困难的，有很多配置都可能会影响到整个 Kubernetes API 的安全性，这需要我们有大量的知识积累来正确的实施。Kubernetes 在安全方面提供了一个强大的工具securityContext，每个 Pod 和容器清单都可以使用这个属性。在本文中我们将了解各种securityContext的配置，探讨它们的含义，以及我们应该如何使用它们。 securityContext设置在PodSpec和ContainerSpec规范中都有定义，...
python 进程池内子进程的顺序
09-19
进程池内子进程的顺序是不确定的，它们的执行顺序取决于操作系统和计算机的调度算法。 进程池通常是通过调用multiprocessing模块中的Pool类来创建的。当调用Pool类的map()或imap()方法时，任务会被分配给进程池中的...
column容器内子元素在垂直方向上的排列
最新发布
12-29
### Column 容器中子元素的垂直排列 在 Flutter 的 `Column` 容器中，通过设置 `mainAxisAlignment` 属性可以控制子元素沿主轴（即垂直方向）的排列方式。默认情况下，`Column` 的主轴是垂直方向，因此这里的排列指...
HoverZoomin：容器内子元素鼠标悬停放大效果实现
它说明了组件的工作范围（容器元素内）、触发方式（鼠标hover到子元素上）以及展示效果（放大，不超出容器）。 #### 3. 基本配置使用方法 - **构造函数**: 首先，需要创建一个HoverZoomin实例，指定容器元素的选择...
psp-allow-privilege-escalation:Kubewarden Pod安全策略，用于控制allowPrivilegeEscalation的使用
04-15
持续集成 执照 该Kubewarden策略替代了Kubernetes Pod安全策略，该策略限制了的使用。 政策如何运作 此策略拒绝启用了allowPrivilegeEscalation安全上下文的所有allowPrivilegeEscalation 。 该策略还会检查initContainers 。 例子 由于nginx容器已启用allowPrivilegeEscalation因此以下Pod将被拒绝： apiVersion : v1 kind : Pod metadata : name : nginx spec : containers : - name : nginx image : nginx securityContext : allowPrivilegeEscalation : true - name : sidecar
kubernetes--安全上下文（Security Context）
热门推荐
m0_57911290的博客
02-15 1万+
背景：容器中的应用程序默认以root账号运行的，这个root与宿主机root账号是相同的， 拥有大部分对Linux内核的系统调用权限，这样是不安全的，所以我们应该将容器以普 通用户运行，减少应用程序对权限的使用。启用特权模式就意味着，你要为容器提供了访问linux内核的所有能力，这是很危险的，为了减少系统调用的供给，可以使用Capabilities为容器赋予仅所需的能力。Linux Capabilities：是一个内核级别的权限，它允许对内核调用权限进行更细粒度的控制，而不是简单的以root身份能力授权。
OpenShift 4 - 容器安全之 SecurityContext 配置
多恩斯基的博客
01-05 1517
以下两文介绍了如何利用容器特权配置对容器平台进行安全攻击，而本文介绍和部署运行容器相关的最佳 SecurityContext 实践。
K8s- 运行Pod时的root用户和非root用户的安全相关配置
dzqxwzoe的博客
05-30 1695
1 ）概述2 ）正常场景whoamiid -uhostname3 ）启用 privilegedhostname4 ）在 yaml 中配置 securityContext 和 privileged。
深度解读！阿里统一应用管理架构升级的教训与实践
阿里云开发者
03-16 3442
简介： 如何既让全公司的研发和运维充分享受云原生技术体系革新带来的专注力与生产力提升，又能够让现有 PaaS 体系无缝迁移、接入到 Kubernetes 大底盘当中，还要让新的 PaaS 体系把 Kubernetes 技术与生态的能力和价值最大程度的发挥出来，而不是互相“屏蔽”甚至“打架”？这个“既要、又要、还要”的高标准要求，才是解决上述 “Kubernetes vs PaaS” 难题的关键所...
Docker Remote API 越权漏洞
人猿进化论
12-06 711
Docker Remote API 漏洞
nvidia-docker2 在 Kubernetes 上实践
HULK一线技术杂谈
11-29 1161
女主宣言nvida-docker2 可以帮助我们将旧的加速计算应用程序容器化，将特定的 GPU 资源分配给容器，并可以轻松地跨不同的环境共享应用程序、协同工作和测试应用程...
k8s之nginx-ingress、 Daemonset实现生产案例
weixin_30872789的博客
06-16 917
上一篇中用node ip + 非80端口,访问k8s集群内部的服务.实际生产中更希望用node ip + 80端口的方式,访问k8s集群内的服务. # 修改mandatory.yaml中创建控制器部分的内容 apiVersion: apps/v1 kind: Daemonset metadata: name: nginx-ingress-controller namespa...
四、基于k8s1.12.1的coredns部署
机器重启员的博客
11-19 3143
一、构建coredns服务 将下载的 kubernetes-server-linux-amd64.tar.gz 解压后，再解压其中的 kubernetes-src.tar.gz 文件。coredns 对应的目录是：cluster/addons/dns。 cd /opt/test/kubernetes/cluster/addons/dns/coredns 将coredns模板复制出来： cp co...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值