Kubernetes'ta bir konteyneri root kullanıcısı olarak çalıştırmak neden kötü bir uygulama olarak kabul edilir?

Kubernetes'te root kullanıcısı olarak konteyner başlatmak artan güvenlik riskleri taşır:

• Yüksek ayrıcalık seviyesi: Konteynerin ele geçirilmesi durumunda, saldırgan konteyner içinde root ayrıcalıkları elde eder. Bu, ana sistemde ayrıcalık yükseltmeye veya kümedeki diğer kaynaklara erişmeye olanak tanıyabilir.
• Ana makinenin dosya sistemine erişim: Uygun kısıtlamalar olmadan, konteyner içindeki root işlemi, çalıştığı düğümün dosya sistemine erişebilir, bu da yetkisiz değişiklikler veya veri sızıntısı olasılığını artırır.
• Çekirdek açıkları: Konteynerdeki root kullanıcısı, Linux çekirdeği açıklarını kullanarak konteynerden çıkıp ana bilgisayarı kontrol altına alabilir.
• Denetim zorluğu: Root kullanıcısının yaptığı işlemleri izlemek daha zordur, bu da güvenlik olaylarının tespiti ve soruşturmasını zorlaştırır.
• Ayrıcalık mirası: Eğer diğer süreçler root kullanıcısından başlatılırsa, onlar da yüksek ayrıcalık seviyesine sahip olur.

En iyi uygulama olarak, konteynerleri ayrıcalıksız bir kullanıcıyla çalıştırmak ilkesi benimsenmelidir. Bu, pod manifestinde securityContext kullanılarak yapılandırılabilir:

securityContext:
  runAsUser: 1000  # Ayrıcalıksız bir kullanıcı kullanımı, ID 1000
  runAsGroup: 3000 # Grup ID 3000'e ait olma (isteğe bağlı)
  allowPrivilegeEscalation: false # Ayrıcalık yükseltmeyi engelle
readOnlyRootFilesystem: true # Konteynerin kök dosya sistemine yazmayı engelle

Ayrıca, şu araçlar kullanılabilir:

• Pod Güvenlik Politikaları / Pod Güvenlik Kabulü: Pod seviyesinde güvenlik politikalarının uygulanması için.
• AppArmor / SELinux: Konteynerlerin ek izolasyonu için.
• Açıkça belirtilmiş ayrıcalıksız kullanıcıyla konteyner imajlarının kullanımı: Dockerfile içinde USER talimatı ile.

# Kullanıcı belirten Dockerfile örneği
FROM ubuntu:latest
# Ayrıcalıksız kullanıcı oluşturma
RUN useradd -ms /bin/bash myuser
# Bu kullanıcıya geçiş
USER myuser
CMD ["/bin/bash"]