31、Kubernetes 应用安全：策略、上下文与准入控制

Kubernetes 应用安全：策略、上下文与准入控制

1. 容器安全概述

容器安全主要涉及 Linux 安全和容器用户的访问模型。在 Linux 容器中，通常以 root 超级管理员账户运行，若未明确配置用户，容器内的 root 等同于主机上的 root。这意味着一旦攻击者突破以 root 运行的容器，就能控制服务器。Kubernetes 虽然提供了多种安全控制，但默认情况下这些控制未启用，因为可能会导致应用无法正常工作。

2. 使用安全上下文限制容器功能

2.1 默认安全情况检查

首先，我们运行一个简单的 Pi 网络应用程序，检查其默认安全情况。操作步骤如下：

# 部署应用
kubectl apply -f pi/
# 等待容器启动
kubectl wait --for=condition=ContainersReady pod -l app=pi-web
# 打印 Pod 容器中的用户名称
kubectl exec deploy/pi-web -- whoami 
# 尝试访问 Kubernetes API 服务器
kubectl exec deploy/pi-web -- sh -c 'curl -k -s https://kubernetes.default | grep message'
# 打印 API 访问令牌
kubectl exec deploy/pi-web -- cat /run/secrets/kubernetes.io/serviceaccount/token

执行上述操作后，会发现应用以 root 运行，可访