Warum gilt das Ausführen eines Containers als Root-Benutzer in Kubernetes als schlechte Praxis?

Das Starten von Containern als Root-Benutzer in Kubernetes birgt erhöhte Sicherheitsrisiken:

• Hohe Privilegien: Im Falle einer Kompromittierung des Containers erhält der Angreifer Root-Rechte innerhalb des Containers. Dies kann es ermöglichen, Privilegien auf dem Host-System zu eskalieren oder auf andere Ressourcen des Clusters zuzugreifen.
• Zugriff auf das Dateisystem des Hosts: Ohne angemessene Einschränkungen kann der Root-Prozess im Container auf das Dateisystem des Knotens zugreifen, auf dem er läuft, was die Wahrscheinlichkeit unbefugter Änderungen oder Datenlecks erhöht.
• Kernel-Schwachstellen: Der Root-Benutzer im Container kann Schwachstellen im Linux-Kernel ausnutzen, um den Container zu verlassen und die Kontrolle über den Host zu erlangen.
• Schwierigkeiten bei der Überprüfung: Das Nachverfolgen der Aktionen des Root-Benutzers ist schwieriger, was die Erkennung und Untersuchung von Sicherheitsvorfällen erschwert.
• Vererbte Privilegien: Wenn andere Prozesse vom Root-Benutzer gestartet werden, haben diese ebenfalls hohe Privilegien.

Es wird empfohlen, das Prinzip der minimalen Privilegien zu befolgen und Container mit einem nicht privilegierten Benutzer auszuführen. Dies kann in der Pod-Manifestdatei mit securityContext konfiguriert werden:

securityContext:
  runAsUser: 1000  # Verwendung eines nicht privilegierten Benutzers mit ID 1000
  runAsGroup: 3000 # Zugehörigkeit zu einer Gruppe mit ID 3000 (optional)
  allowPrivilegeEscalation: false # Erlaubnis zur Privilegienerhöhung verweigern
readOnlyRootFilesystem: true # Schreibzugriff auf das Root-Dateisystem des Containers verweigern

Außerdem kann man:

• Pod Security Policies / Pod Security Admission: Für die Anwendung von Sicherheitsrichtlinien auf Pod-Ebene.
• AppArmor / SELinux: Für eine zusätzliche Isolierung der Container.
• Verwendung von Container-Images mit explizit angegebenem nicht privilegiertem Benutzer: Im Dockerfile mit der Anweisung USER.

# Beispiel Dockerfile mit Benutzerangabe
FROM ubuntu:latest
# Erstellen eines nicht privilegierten Benutzers
RUN useradd -ms /bin/bash myuser
# Wechsel zu diesem Benutzer
USER myuser
CMD ["/bin/bash"]