Запуск контейнеров от пользователя root в Kubernetes создает повышенные риски безопасности:
- Высокий уровень привилегий: В случае компрометации контейнера злоумышленник получает root-права внутри контейнера. Это может позволить провести эскалацию привилегий на хост-системе или получить доступ к другим ресурсам кластера.
- Доступ к файловой системе хоста: Без должных ограничений, root-процесс внутри контейнера может иметь доступ к файловой системе узла, на котором он запущен, что увеличивает вероятность несанкционированных изменений или утечки данных.
- Уязвимости ядра: Root-пользователь в контейнере может использовать уязвимости ядра Linux для выхода из контейнера и получения контроля над хостом.
- Сложность аудита: Отслеживать действия root-пользователя сложнее, что затрудняет выявление и расследование инцидентов безопасности.
- Наследование привилегий: Если из корневого пользователя запускаются другие процессы, они также будут иметь высокий уровень привилегий.
Рекомендуется следовать принципу