Pourquoi exécuter un conteneur en tant qu'utilisateur root dans Kubernetes est-il considéré comme une mauvaise pratique?

Lancer des conteneurs en tant qu'utilisateur root dans Kubernetes présente des risques de sécurité accrus:

• Niveau élevé de privilèges: En cas de compromission du conteneur, l'attaquant obtient les droits root à l'intérieur du conteneur. Cela peut permettre une escalade de privilèges sur le système hôte ou l'accès à d'autres ressources du cluster.
• Accès au système de fichiers de l'hôte: Sans restrictions appropriées, le processus root à l'intérieur du conteneur peut accéder au système de fichiers du nœud sur lequel il est exécuté, augmentant le risque de modifications non autorisées ou de fuite de données.
• Vulnérabilités du noyau: L'utilisateur root dans le conteneur peut exploiter des vulnérabilités du noyau Linux pour sortir du conteneur et prendre le contrôle de l'hôte.
• Difficulté d'audit: Il est plus difficile de suivre les actions de l'utilisateur root, ce qui complique la détection et l'enquête sur les incidents de sécurité.
• Héritage de privilèges: Si d'autres processus sont lancés par l'utilisateur root, ils auront également un niveau élevé de privilèges.

Il est recommandé de suivre le principe du moindre privilège, en lançant les conteneurs avec un utilisateur non privilégié. Cela peut être configuré dans le manifeste du pod avec securityContext:

securityContext:
  runAsUser: 1000  # Utilisation d'un utilisateur non privilégié avec l'ID 1000
  runAsGroup: 3000 # Appartenance à un groupe avec l'ID 3000 (optionnel)
  allowPrivilegeEscalation: false # Interdire la montée en privilèges
readOnlyRootFilesystem: true # Interdire l'écriture dans le système de fichiers racine du conteneur

De plus, il est possible d'utiliser:

• Politiques de sécurité Pod / Pod Security Admission: Pour appliquer des politiques de sécurité au niveau du pod.
• AppArmor / SELinux: Pour une isolation supplémentaire des conteneurs.
• Utilisation d'images de conteneurs avec un utilisateur non privilégié explicitement spécifié: Dans le Dockerfile avec l'instruction USER.

# Exemple de Dockerfile avec spécification de l'utilisateur
FROM ubuntu:latest
# Création d'un utilisateur non privilégié
RUN useradd -ms /bin/bash myuser
# Passage à cet utilisateur
USER myuser
CMD ["/bin/bash"]