Kubernetesda konteynerni root foydalanuvchi sifatida ishga tushirish nima uchun yomon amaliyot hisoblanadi?

Kubernetesda root foydalanuvchisi sifatida konteynerlarni ishga tushirish xavfsizlik xavfini oshiradi:

• Yuqori darajadagi privilegiyalar: Kontayner buzilgan taqdirda, hujumchi konteyner ichida root huquqlarini oladi. Bu, host tizimda privilegiyalarni oshirish yoki klasterning boshqa resurslariga kirishni ta'minlashi mumkin.
• Hostning fayl tizimiga kirish: To'g'ri cheklovlar bo'lmasa, konteyner ichidagi root jarayoni, u ishlayotgan tugunning fayl tizimiga kirishi mumkin, bu ruxsatsiz o'zgarishlar yoki ma'lumotlarni oshkor qilish ehtimolini oshiradi.
• Yadro zaifliklari: Kontaynerdagi root foydalanuvchi Linux yadrosining zaifliklaridan foydalanib, konteynerdan chiqib, hostni nazorat qilish imkoniyatiga ega bo'lishi mumkin.
• Audit qilish qiyinligi: Root foydalanuvchining harakatlarini kuzatish qiyinroq, bu xavfsizlik hodislarini aniqlash va tergov qilishni qiyinlashtiradi.
• Privilegiya merosi: Agar boshqa jarayonlar root foydalanuvchidan boshlansa, ular ham yuqori privilegiyaga ega bo'ladi.

Eng yaxshi amaliyot sifatida, konteynerlarni privilegiyasiz foydalanuvchi bilan ishga tushirish tavsiya etiladi. Bu securityContext yordamida pod manifestida sozlanishi mumkin:

securityContext:
  runAsUser: 1000  # Privilegiyasiz foydalanuvchi ID bilan
  runAsGroup: 3000 # 3000 ID bilan guruhga tegishli
  allowPrivilegeEscalation: false # Privilegiya oshirishni taqiqlash
readOnlyRootFilesystem: true # Konteynerning root fayl tizimiga yozishni taqiqlash

Shuningdek, quyidagilarni ishlatish mumkin:

• Pod Security Policies / Pod Security Admission: Pod darajasida xavfsizlik siyosatlarini qo'llash uchun.
• AppArmor / SELinux: Konteynerlarni qo'shimcha izolyatsiya qilish uchun.
• Aniq belgilangan privilegiyasiz foydalanuvchi bilan konteyner rasmlaridan foydalanish: Dockerfileda USER instruktsiyasi yordamida.

# Foydalanuvchi belgilangan Dockerfile misoli
FROM ubuntu:latest
# Privilegiyasiz foydalanuvchi yaratish
RUN useradd -ms /bin/bash myuser
# Ushbu foydalanuvchiga o'tish
USER myuser
CMD ["/bin/bash"]