Kubernetes 中为 Windows Pod 和容器配置 RunAsUserName

Kubernetes 中为 Windows Pod 和容器配置 RunAsUserName

website Kubernetes website and documentation repo: 项目地址: https://gitcode.com/gh_mirrors/webs/website

前言

在 Kubernetes 中运行 Windows 工作负载时，有时我们需要以特定用户身份运行容器中的进程。这与 Linux 环境中的 runAsUser 功能类似，但在 Windows 环境下需要使用 runAsUserName 参数来实现。本文将详细介绍如何在 Kubernetes 中为 Windows Pod 和容器配置运行用户名。

基本概念

Windows 容器用户模型

Windows 容器与 Linux 容器在用户模型上有显著差异。Windows 容器默认使用以下预定义账户：

• ContainerAdministrator：具有管理员权限的容器用户
• ContainerUser：标准用户权限
• 系统账户如 NETWORK SERVICE 和 LOCAL SERVICE

通过 runAsUserName 我们可以指定容器进程以哪个用户身份运行，这对于安全隔离和权限控制非常重要。

配置方法

Pod 级别配置

要为 Pod 中所有容器设置运行用户名，可以在 Pod 的 securityContext 中指定：

apiVersion: v1
kind: Pod
metadata:
  name: run-as-username-pod-demo
spec:
  securityContext:
    windowsOptions:
      runAsUserName: "ContainerUser"
  containers:
  - name: windows-container
    image: mcr.microsoft.com/windows/servercore:ltsc2019
    command: ["ping", "-t", "localhost"]
  nodeSelector:
    kubernetes.io/os: windows

这种配置会应用于 Pod 中的所有容器，包括初始化容器。

容器级别配置

如果需要为单个容器指定不同的用户名，可以在容器级别的 securityContext 中设置：

apiVersion: v1
kind: Pod
metadata:
  name: run-as-username-container-demo
spec:
  securityContext:
    windowsOptions:
      runAsUserName: "ContainerUser"
  containers:
  - name: windows-container
    image: mcr.microsoft.com/windows/servercore:ltsc2019
    command: ["ping", "-t", "localhost"]
    securityContext:
      windowsOptions:
        runAsUserName: "ContainerAdministrator"
  nodeSelector:
    kubernetes.io/os: windows

容器级别的配置会覆盖 Pod 级别的配置。

验证配置

创建 Pod 后，可以通过以下方式验证配置是否生效：

kubectl exec -it <pod-name> -- powershell

在容器内执行：

echo $env:USERNAME

用户名格式要求

Windows 用户名必须符合特定格式要求：

1. 格式应为 DOMAIN\USER，其中 DOMAIN\ 是可选的
2. 不能为空且不能包含控制字符
3. 域名部分(DOMAIN)限制：
   • NetBios 名称：最多15个字符，不能以点开头
   • DNS 名称：最多255个字符，只能包含字母、数字、点和中划线
4. 用户名部分(USER)限制：
   • 最多20个字符
   • 不能只包含点或空格
   • 不能包含特殊字符

实际应用场景

1. 权限降级：默认情况下容器可能以管理员身份运行，通过 runAsUserName 可以降级为普通用户
2. 服务账户：使用系统预定义账户如 NETWORK SERVICE 运行特定服务
3. 安全隔离：不同 Pod 使用不同用户身份运行，增强安全性

注意事项

1. 该功能需要 Kubernetes 1.18 及以上版本
2. 确保集群中有 Windows 节点
3. 用户名必须符合 Windows 系统的命名规范
4. 某些应用程序可能需要特定用户权限才能正常运行

总结

通过 runAsUserName 配置，Kubernetes 为 Windows 工作负载提供了灵活的用户身份控制能力。合理使用这一功能可以提升容器运行的安全性和合规性。在实际应用中，建议根据应用程序的实际需求选择适当的用户身份，并遵循最小权限原则。

website Kubernetes website and documentation repo: 项目地址: https://gitcode.com/gh_mirrors/webs/website