Kubernetes 中特权模式（Privileged Mode）容器

最新推荐文章于 2025-04-30 11:01:02 发布
最新推荐文章于 2025-04-30 11:01:02 发布
阅读量1.5k 收藏 27
点赞数 26
CC 4.0 BY-SA版权
分类专栏： K8s 文章标签： kubernetes 容器 云原生
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/hezuijiudexiaobai/article/details/145565280

目录标题

Kubernetes 中的特权模式容器笔记

特权模式定义

在 Kubernetes 中，特权模式是一种特殊的 Pod 配置，允许容器内的进程拥有接近宿主机的访问权限。在特权模式下运行的容器可以访问宿主机的所有设备，执行需要更高权限的系统调用，甚至可以在容器内部运行 Docker 守护进程。

特权模式的配置

在 Kubernetes 中，可以通过 Pod 定义中的 securityContext 设置容器为特权模式。例如：

apiVersion: v1
kind: Pod
metadata:
  name: privileged-pod
spec:
  containers:
最低0.47元/天 解锁文章

200万优质内容无限畅学
Docker特权容器与capability
SHELLCODE_8BIT的博客
08-17 692
(1条消息) Docker 容器安全（1）：我的容器真的需要privileged权限吗?_富士康质检员张全蛋的博客-优快云博客_docker privileged
云原生攻防5（Kubernetes常见攻击方式）
最新发布
墨痕诉清风的博客
06-06 101
随着越来越多企业开始上云的步伐，在攻防演练碰到云相关的场景有：公有云、私有云、混合云、虚拟化集群。以往渗透是从外网突破-> 提权 -> 权限维持 -> 信息收集 -> 横向移动 -> 循环收集信息获得重要目标系统。随着业务上云以及虚拟化技术的引入改变了这种格局，也打开了新的入侵路径。1. 通过虚拟机攻击云管理平台，利用管理平台控制所有机器2. 通过容器进行逃逸，从而控制宿主机以及横向渗透到K8s Master节点控制其上所有容器。
Docker容器开启特权模式
xjfyt0129的博客
06-05 3113
解决docker容器内特权模式的问题
k8s特权容器，类似于-cap-add NET_ADMIN --device /dev/net/tun -it
2301_77695535的博客
04-30 179
mountPath: /dev/net/tun # 将宿主机的 /dev/net/tun 挂载到容器的 /dev/net/tun，不会覆盖其他文件。path: /dev/net/tun # 指定宿主机上的 /dev/net/tun。subPath: tun # subPath 用于指定挂载单个文件。- NET_ADMIN # 添加 NET_ADMIN 权限。type: File # 确保挂载的是一个文件，而非目录。image: your-image # 替换为你的容器镜像。
k8s不求甚解系列：POD的特权模式
weixin_38757398的博客
12-04 4185
本文描述了k8s中的特权pod的相关定义、使用场景。在文章的后半段给出了一份笔者的实践过程，期望能够带给读者启发
容器特权和接口爆破
qq_15821487的博客
03-22 922
容器特权通常指的是容器具有超级用户权限，可以执行一些需要高权限的操作，如挂载文件系统、读取敏感数据等。在容器化技术中，如Docker，默认情况下容器是以非特权模式（non-privileged）运行的，这意味着容器没有root权限。容器通常会运行在用户空间中，并且不能访问宿主机的某些敏感系统资源，如其他用户的文件、内核模块等。--cap-add--cap-drop请注意，尽管特权容器可以执行更广泛的操作，但它们仍然受到Docker安全配置的限制。
容器安全 - 利用特权模式运行的容器，实现容器逃逸和入侵
多恩斯基的博客
11-16 2299
《OpenShift 4.x HOL教程汇总》 说明 建议使用以下环境模拟本文的容器逃逸： https://www.katacoda.com/bluedata/scenarios/centos 执行命令安装docker运行环境。 $ sudo yum install docker -y 实现容器逃逸 获取宿主机控制权 先查看当前本机的IP地址，本环节为“172.17.0.28”。 $ ip a 1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc
Docker容器逃逸-特权模式-危险挂载-Procfs
XXokok的博客
04-18 1535
Docker容器逃逸-特权模式-危险挂载-Procfs
kubernetes组件_KubeProxy_KubeProxy三种模式和参数解析
毛毛的专栏
06-22 3549
kubeProxy
【云原生】kubernetes中的认证、权限设置--RBAC授权原理分析与应用实战
景天科技苑
05-27 1万+
k8s对我们整个系统的认证，授权，访问控制做了精密的设置；对于k8s集群来说， apiserver是整个集群访问控制的唯一入口，我们在k8s集群之上部署应用程序的时候， 也可以通过宿主机的NodePort暴露的端口访问里面的程序， 用户访问kubernetes集群需要经历如下认证过程：认证->授权->准入控制（adminationcontroller）
第55章：零信任安全模型在Kubernetes中的实现
上海交通大学电院毕业，现互联网大厂开发工程师
03-25 77
零信任安全模型为Kubernetes环境提供了全面的安全框架，通过"永不信任，始终验证"的原则，大大提高了系统的安全性。在Kubernetes中实施零信任需要关注身份认证、细粒度访问控制、网络安全与微分段以及持续验证与监控等多个方面。通过本章的学习，读者应该了解了零信任安全模型的核心原则，以及如何在Kubernetes环境中实施这一模型的具体方法和最佳实践。零信任不是一个单一的产品或技术，而是一种安全理念和架构方法，需要组织从技术、流程和人员三个方面共同努力才能实现。
查看容器是否开启了特权模式
喝醉酒的小白
02-20 1908
通过使用这些配置，您可以在Kubernetes集群中配置容器的安全性和权限级别。请注意，在为容器设置特权模式时，需要谨慎考虑潜在的安全风险，并确保只向可信的容器授予特权。这段代码是Kubernetes中的Pod配置文件中的。请注意，只有在具有足够权限的情况下，才能运行。它用于定义容器的安全上下文。
容器：特权容器 VS 非特权容器，2024年最新Linux运维开发还会吃香吗
2401_83621095的博客
04-16 419
使用特权容器虽然提供了更大的灵活性和能力，但同时也大大增加了安全风险。容器逃逸攻击（即容器内的攻击者获取宿主机权限）在特权容器中更容易发生。因此，除非绝对必要，否则不推荐使用特权容器，而应尽量采用非特权容器并根据需要授予特定权限。在设计和部署容器时，始终需要权衡灵活性、功能需求和安全性。新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
容器安全 - 利用容器的特权配置实现对Kubernetes攻击，以及如何使用 PSA 防范风险(视频)
多恩斯基的博客
10-19 1497
本文将演示如何利用在 Kubernetes 中容器的 privileged、hostpath、hostpid、hostipc、hostnetwork 配置实现对容器或宿主机的攻击，包括获得敏感数据、杀掉关键进程等。
容器：特权容器 VS 非特权容器
十年运维开发经验的王义杰在此分享自己的知识和经验
01-08 960
使用特权容器虽然提供了更大的灵活性和能力，但同时也大大增加了安全风险。容器逃逸攻击（即容器内的攻击者获取宿主机权限）在特权容器中更容易发生。因此，除非绝对必要，否则不推荐使用特权容器，而应尽量采用非特权容器并根据需要授予特定权限。在设计和部署容器时，始终需要权衡灵活性、功能需求和安全性。容器以特权方式启动意味着它几乎拥有宿主机上的所有权限，与宿主机上的普通进程几乎没有区别。这与非特权容器形成对比，后者的权限受到限制，以减少潜在的安全风险。
特权容器逃逸
SHELLCODE_8BIT的博客
12-09 712
当我们容器以--privileged启动时，会以特权模式启用，本质上是我们权限扩大了，扩展了我们攻击面，那么特权模式扩展了哪些攻击面呢？
使用 kubectl 管理 Kubernetes 容器平台
热门推荐
高飞的博客
11-06 26万+
k8s
特权容器以及安全隐患的规避
Demonslzh的博客
10-24 3085
Docker特权模式授予Docker容器对主机系统上所有设备的根权限。因此也会产生安全隐患。本文讲述相关的安全隐患以及规避方法。
在k8s集群中以root用户进入容器
04-28
默认情况下，在 Kubernetes 中以 root 用户进入容器是被禁止的。这是为了提高容器的安全性。但是，如果你确实需要以 root 用户身份进入容器，你可以通过在容器中运行特权容器来实现。 特权容器是以特权模式（privileged mode）运行的容器，它可以执行一些普通容器不能执行的操作，例如挂载主机目录或修改主机网络设置。你可以在 Kubernetes 中定义一个特权容器，然后使用它来进入目标容器。 下面是一个例子，演示如何通过特权容器以 root 用户进入目标容器： 1. 创建一个特权容器的 Pod 模板，如下所示： ```yaml apiVersion: v1 kind: Pod metadata: name: privileged-pod spec: containers: - name: privileged-container image: alpine command: ["sleep", "3600"] securityContext: privileged: true restartPolicy: Never ``` 这个 Pod 模板定义了一个名为 privileged-container 的特权容器，它运行 Alpine 镜像中的 sleep 命令。注意，securityContext 中的 privileged 字段被设置为 true，表示这个容器是特权容器。 2. 创建一个以 privileged-container 为目标的 Kubernetes Job，如下所示： ```yaml apiVersion: batch/v1 kind: Job metadata: name: privileged-job spec: template: spec: containers: - name: privileged-container image: alpine command: ["sleep", "3600"] securityContext: privileged: true restartPolicy: OnFailure backoffLimit: 4 ``` 这个 Job 定义了一个名为 privileged-job 的任务，它使用 privileged-container 作为容器模板。这个任务将会创建一个特权容器并运行它。 3. 执行 privileged-job，创建特权容器： ```bash $ kubectl create -f privileged-job.yaml ``` 4. 进入特权容器，并以 root 用户身份进入目标容器： ```bash $ kubectl exec -it privileged-job-xxxx privileged-container sh / # chroot /target-container sh ``` 在特权容器中，你可以使用 chroot 命令将目标容器的根目录切换到当前容器的根目录，然后以 root 用户身份进入目标容器。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值