Kubernetesте контейнерди root колдонуучу катары иштетүү эмне үчүн жаман практика деп эсептелет?

Kubernetesте контейнерлерди root колдонуучудан иштетүү коопсуздукка коркунуч туудурат:

• Жогорку укук деңгээли: Контейнер бузулса, злоумышленник контейнер ичинде root укуктарын алат. Бул хост системасында укуктарды жогорулатууга же кластердин башка ресурстарына жетүүгө мүмкүндүк берет.
• Хост файл тутумуна жетүү: Тийиштүү чектөөлөр болбосо, контейнер ичиндеги root процесси иштетилген түйүнүнүн файл тутумуна жеткиликтүү болушу мүмкүн, бул мыйзамсыз өзгөртүүлөр же маалыматтын чыгуу коркунучун жогорулатат.
• Ядро кемчиликтери: Контейнердеги root колдонуучу Linux ядросунун кемчиликтерин колдонуп, контейнерден чыгууга жана хостту көзөмөлдөөгө мүмкүнчүлүк алат.
• Текшерүүнүн кыйынчылыгы: Root колдонуучунун аракеттерин көзөмөлдөө кыйын, бул коопсуздук инциденттерин аныктоо жана иликтөөнү кыйындатат.
• Укуктардын мурас болушу: Эгер башка процесстер негизги колдонуучудан иштетилсе, алар да жогорку укук деңгээлине ээ болот.

Кемчиликсиз укуктарды сактоо принцибин кармануу сунушталат, контейнерлерди укуксуз колдонуучудан иштетүү менен. Бул securityContext аркылуу под манифестинде конфигурацияланат:

securityContext:
  runAsUser: 1000  # Укуксуз колдонуучу менен иштетүү, ID 1000
  runAsGroup: 3000 # Группа менен иштетүү, ID 3000 (опционалдуу)
  allowPrivilegeEscalation: false # Укуктарды жогорулатууга тыюу
readOnlyRootFilesystem: true # Контейнердин түпкү файл тутумуна жазууга тыюу

Кошумча колдонуу мүмкүн:

• Pod Security Policies / Pod Security Admission: Под деңгээлиндеги саясаттарды колдонуу.
• AppArmor / SELinux: Контейнерлерди кошумча изоляциялоо.
• Ачык көрсөтүлгөн укуксуз колдонуучу менен контейнер сүрөттөрүн колдонуу: Dockerfile ичинде USER көрсөтмөсү аркылуу:

# Колдонуучуну көрсөтүүчү Dockerfile мисалы
FROM ubuntu:latest
# Укуксуз колдонуучу түзүү
RUN useradd -ms /bin/bash myuser
# Түзүлгөн колдонуучуга которуу
USER myuser
CMD ["/bin/bash"]