Защо се счита за лоша практика да се стартира…

Стартирането на контейнери като потребител root в Kubernetes създава повишени рискове за сигурността:

Високо ниво на привилегии: В случай на компрометиране на контейнера, нападателят получава root права вътре в контейнера. Това може да позволи ескалация на привилегиите на хост системата или достъп до други ресурси на клъстера.
Достъп до файловата система на хоста: Без подходящи ограничения, процесът root вътре в контейнера може да има достъп до файловата система на възела, на който работи, което увеличава вероятността от неоторизирани промени или изтичане на данни.
Уязвимости на ядрото: Root потребителят в контейнера може да използва уязвимости на Linux ядрото, за да излезе от контейнера и да поеме контрол над хоста.
Трудности при одита: Следенето на действията на root потребителя е по-трудно, което усложнява откриването и разследването на инциденти за сигурност.
Наследяване на привилегии: Ако други процеси се стартират от root потребителя, те също ще имат високото ниво на привилегии.

Препоръчва се да се следва принципът на минимални привилегии, като се стартират контейнери от непривилегирован потребител. Това може да се конфигурира в манифеста на пода с помощта на securityContext:

securityContext:
  runAsUser: 1000  # Използване на непривилегирован потребител с ID 1000
  runAsGroup: 3000 # Принадлежност към група с ID 3000 (по избор)
  allowPrivilegeEscalation: false # Забрана за повишаване на привилегиите
readOnlyRootFilesystem: true # Забрана за запис в кореновата файлова система на контейнера

Освен това може да се използват:

Политики за сигурност на Pod / Pod Security Admission: За прилагане на политики за сигурност на ниво под.
AppArmor / SELinux: За допълнителна изолация на контейнерите.
Използване на образи на контейнери с явно посочен непривилегирован потребител: В Dockerfile с помощта на инструкцията USER.

# Пример за Dockerfile с посочване на потребител
FROM ubuntu:latest
# Създаване на непривилегирован потребител
RUN useradd -ms /bin/bash myuser
# Превключване към този потребител
USER myuser
CMD ["/bin/bash"]

Защо се счита за лоша практика да се стартира контейнер като потребител root в Kubernetes?