035.Kubernetes集群安全-Pod安全

一 Pod安全

1.1 PodSecurityPolicy啟用

  1 ……
  2 --enable-admission-plugins=PodSecurityPolicy \
  3 ……

  1 apiVersion: v1
  2 kind: Pod
  3 metadata:
  4   name: nginx
  5 spec:
  6   containers:
  7   - name: nginx
  8     image: nginx
  9     ports:
 10     - name: web
 11       containerPort: 80

1.2 PodSecurityPolicy配置

  1 apiVersion: policy/v1beta1
  2 kind: PodSecurityPolicy
  3 metadata:
  4   name: psp-non-privileged
  5 spec:
  6   privileged: false		#不允許特權模式的Pod
  7   seLinux:
  8     rule: RunAsAny
  9   supplementalGroups:
 10     rule: RunAsAny
 11   runAsUser:
 12     rule: RunAsAny
 13   fsGroup:
 14     rule: RunAsAny
 15   volumes:
 16   - '*'

  1 apiVersion: v1
  2 kind: Pod
  3 metadata:
  4   name: nginx2
  5 spec:
  6   containers:
  7   - name: nginx2
  8     image: nginx
  9     securityContext:
 10       privileged: true
 11     ports:
 12     - name: web
 13       containerPort: 80

二 PodSecurityPolicy配置詳解

2.1 特權模式配置

2.2 宿主機資源相關配置

1. hostPID：是否允許Pod共享宿主機的行程空間，
2. hostIPC：是否允許Pod共享宿主機的IPC命名空間，
3. hostNetwork：是否允許Pod使用宿主機網路的命名空間，
4. hostPorts：是否允許Pod使用宿主機的埠號，可以通過hostPortRange欄位設定允許使用的埠號范圍，以[min,max]設定最小埠號和最大埠號，
5. Volumes：允許Pod使用的存盤卷Volume型別，設定為“*”表示允許使用任意Volume型別，建議至少允許Pod使用下列Volume型別，
1. configMap
2. downwardAPI
3. emptyDir
4. persistentVolumeClaim
5. secret
6. projected
6. AllowedHostPaths：允許Pod使用宿主機的hostPath路徑名稱，可以通過pathPrefix欄位設定路徑的前綴，并可以設定是否為只讀屬性，

  1 apiVersion: policy/v1beta1
  2 kind: PodSecurityPolicy
  3 metadata:
  4   name: allow-hostpath-volumes
  5 spec:
  6   volumes:
  7     - hostPath
  8   allowedHostPaths:
  9     - pathPrefix: "/foo"
 10       readOnly: true

7. FSGroup：設定允許訪問某些Volume的Group ID范圍，可以將規則（rule欄位）設定為MustRunAs、MayRunAs或RunAsAny，
1. MustRunAs：需要設定Group ID的范圍，例如1～65535，要求Pod的securityContext.fsGroup設定的值必須屬于該Group ID的范圍，
2. MayRunAs：需要設定Group ID的范圍，例如1～65535，不強制要求Pod設定securityContext.fsGroup，
3. RunAsAny：不限制Group ID的范圍，任何Group都可以訪問Volume，
8. ReadOnlyRootFilesystem：要求容器運行的根檔案系統（rootfilesystem）必須是只讀的，
9. allowedFlexVolumes：對于型別為flexVolume的存盤卷，設定允許使用的驅動型別，

  1 apiVersion: policy/v1beta1
  2 kind: PodSecurityPolicy
  3 metadata:
  4   name: allow-flex-volumes
  5 spec:
  6   volumes:
  7     - flexVolume
  8   allowedflexVolumes:
  9     - driver: example/lvm
 10     - driver: example/cifs

1. RunAsUser：設定運行容器的用戶ID（User ID）范圍，規則欄位（rule）的值可以被設定為MustRunAs、MustRunAsNonRoot或RunAsAny，
1. MustRunAs：需要設定User ID的范圍，要求Pod的securityContext.runAsUser設定的值必須屬于該User ID的范圍，
2. MustRunAsNonRoot：必須以非root用戶運行容器，要求Pod的securityContext.runAsUser設定一個非0的用戶ID，或者鏡像中在USER欄位設定了用戶ID，建議同時設定allowPrivilegeEscalation=false以避免不必要的提升權限操作，
2. RunAsAny：不限制User ID的范圍，任何User都可以運行，
1. RunAsGroup：設定運行容器的Group ID范圍，規則欄位的值可以被設定為MustRunAs、MustRunAsNonRoot或RunAsAny，
2. MustRunAs：需要設定Group ID的范圍，要求Pod的securityContext.runAsGroup設定的值必須屬于該Group ID的范圍，
3. MustRunAsNonRoot：必須以非root組運行容器，要求Pod的securityContext.runAsUser設定一個非0的用戶ID，或者鏡像中在USER欄位設定了用戶ID，建議同時設定allowPrivilegeEscalation=false以避免不必要的提升權限操作，
4. RunAsAny：不限制Group ID的范圍，任何Group的用戶都可以運行，
3. SupplementalGroups：設定容器可以額外添加的Group ID范圍，可以將規則（rule欄位）設定為MustRunAs、MayRunAs或RunAsAny，
1. MustRunAs：需要設定Group ID的范圍，要求Pod的securityContext.supplementalGroups設定的值必須屬于該Group ID范圍，
2. MayRunAs：需要設定Group ID的范圍，不強制要求Pod設定securityContext.supplementalGroups，
3. RunAsAny：不限制Group ID的范圍，任何supplementalGroups的用戶都可以運行，

2.4 提升權限相關配置

1. AllowPrivilegeEscalation：設定容器內的子行程是否可以提升權限，通常在設定非root用戶（MustRunAsNonRoot）時進行設定，
2. DefaultAllowPrivilegeEscalation：設定AllowPrivilegeEscalation的默認值，設定為disallow時，管理員還可以顯式設定AllowPrivilegeEscalation來指定是否允許提升權限，

2.5 Linux能力相關配置

1. AllowedCapabilities：設定容器可以使用的Linux能力串列，設定為“*”表示允許使用Linux的所有能力（如NET_ADMIN、SYS_TIME等），
2. RequiredDropCapabilities：設定不允許容器使用的Linux能力串列，
3. DefaultAddCapabilities：設定默認為容器添加的Linux能力串列，例如SYS_TIME等，Docker建議默認設定的Linux能力請查看https://docs.docker.com/engine/reference/run/#runtime-privilege-and-linuxcapabilities，

2.6.SELinux相關配置

1. seLinux：設定SELinux引數，可以將規則欄位（rule）的值設定為MustRunAs或RunAsAny，
1. MustRunAs：要求設定seLinuxOptions，系統將對Pod的securityContext.seLinuxOptions設定的值進行校驗，
2. RunAsAny：不限制seLinuxOptions的設定，

2.7 其他Linux相關配置

1. AllowedProcMountTypes：設定允許的ProcMountTypes型別串列，可以設定allowedProcMountTypes或DefaultProcMount，
2. AppArmor：設定對容器可執行程式的訪問控制權限，詳情請參考https://kubernetes.io/docs/tutorials/clusters/apparmor/#podsecuritypolicyannotations，
3. Seccomp：設定允許容器使用的系統呼叫（SystemCalls）的profile，
4. Sysctl：設定允許調整的內核引數，詳情請參考https://kubernetes.io/docs/concepts/cluster-administration/sysctlcluster/#podsecuritypolicy，

2.8 常見PodSecurityPolicy安全策略配置

  1 apiVersion: policy/v1beta1
  2 kind: PodSecurityPolicy
  3 metadata:
  4   name: privileged
  5   annotations:
  6     seccomp.security.alpha.kubernetes.io/allowedProfileNames: '*'
  7 spec:
  8   privileged: true
  9   allowPrivilegeEscalation: true
 10   allowedCapabilities:
 11   - '*'
 12   volumes:
 13   - '*'
 14   hostNetwork: true
 15   hostPorts:
 16   - min: 0
 17     max: 65535
 18   hostIPC: true
 19   hostPID: true
 20   runAsUser:
 21     rule: 'RunAsAny'
 22   seLinux:
 23     rule: 'RunAsAny'
 24   supplementalGroups:
 25     rule: 'RunAsAny'
 26   fsGroup:
 27     rule: 'RunAsAny'

  1 apiVersion: policy/v1beta1
  2 kind: PodSecurityPolicy
  3 metadata:
  4   name: restricted
  5   annotations:
  6     seccomp.security.alpha.kubernetes.io/allowedProfileNames: 'docker/default'
  7     apparmor.security.beta.kubernetes.io/allowedProfileNames: 'runtime/default'
  8     seccomp.security.alpha.kubernetes.io/defaultProfileName: 'docker/default'
  9     apparmor.security.beta.kubernetes.io/dafaultProfileName: 'runtime/default'
 10 spec:
 11   privileged: false
 12   allowPrivilegeEscalation: false
 13   requiredDropCapabilities:
 14   - ALL
 15   volumes:
 16   - 'configMap'
 17   - 'emptyDir'
 18   - 'projected'
 19   - 'secret'
 20   - 'downwardAPI'
 21   - 'persistentVolumeClaim'
 22   hostNetwork: false
 23   hostIPC: false
 24   hostPID: false
 25   runAsUser:
 26     rule: 'MustRunAsNonRoot'
 27   seLinux:
 28     rule: 'MustRunAs'
 29     ranges:
 30     - min: 1
 31       max: 65535
 32   fsGroup:
 33     rule: 'MustRunAs'
 34     ranges:
 35     - min: 1
 36       max: 65535
 37   readOnlyRootFilesystem: false

  1 kind: ClusterRole
  2 apiVersion: rbac.authorization.k8s.io/v1
  3 metadata:
  4   name: <role name>
  5 rules:
  6 - apiGroup: ['policy']
  7   resources: ['podsecuritypolicies']
  8   verbs: ['use']
  9   resourceNames:
 10   - <list of policies to authorize>  # 允許使用的PodSecurityPolicy串列

  1 kind: ClusterRoleBinding
  2 apiVersion: rbac.authorization.k8s.io/v1
  3 metadata:
  4   name: <binding name>
  5 roleRef:
  6   kind: ClusterRole
  7   name: <roke name>  # 之前創建的ClusterRole名稱
  8   apiGroup: rbac.authorization.k8s.io
  9 subjects:
 10 # 對特定Namespace中的ServiceAccount進行授權
 11 - kind: ServiceAccount
 12   name: <authorized servie account name> # ServiceAccount 的名稱
 13   namespace: <authorized pod namespace> # Namespace的名稱
 14 # 對特定用戶進行授權（不推薦）
 15 - kind: User
 16   apiGroup: rbac.authorization.k8s.io
 17   name: <authorized user name>  # 用戶名

三 Pod的安全設定詳解

3.1 Pod安全策略型別

• runAsGroup：容器內運行程式的用戶組ID，
• runAsNonRoot：是否必須以非root用戶運行程式，
• fsGroup：SELinux相關設定，
• seLinuxOptions：SELinux相關設定，
• supplementalGroups：允許容器使用的其他用戶組ID，
• sysctls：設定允許調整的內核引數，
• 在Container級別可以設定的安全策略型別如下，
• runAsUser：容器內運行程式的用戶ID，
• runAsGroup：容器內運行程式的用戶組ID，
• runAsNonRoot：是否必須以非root用戶運行程式，
• privileged：是否以特權模式運行，
• allowPrivilegeEscalation：是否允許提升權限，
• readOnlyRootFilesystem：根檔案系統是否為只讀屬性，
• capabilities：Linux能力串列，
• seLinuxOptions：SELinux相關設定，

  1 apiVersion: v1
  2 kind: Pod
  3 metadata:
  4   name: security-context-demo
  5 spec:
  6   securityContext:
  7     runAsUser: 1000
  8     runAsGroup: 3000
  9     fsGroup: 2000
 10   volumes:
 11   - name: sec-ctx-vol
 12     emptyDir: {}
 13   containers:
 14   - name: sec-ctx-demo
 15     image: tomcat
 16     volumeMounts:
 17     - name: sec-ctx-vol
 18       mountPath: /data/demo
 19     securityContext:
 20       allowPrivilegeEscalation: false

3.3 Container安全策略型別

• runAsUser： 容器內運行程式的用戶ID，
• runAsGroup： 容器內運行程式的用戶組ID，
• runAsNonRoot： 是否必須以非root用戶運行程式，
• privileged： 是否以特權模式運行，
• allowPrivilegeEscalation： 是否允許提升權限，
• readOnlyRootFilesystem： 根檔案系統是否為只讀屬性，
• capabilities： Linux能力串列，
• seLinuxOptions： SELinux相關設定，

  1 apiVersion: v1
  2 kind: Pod
  3 metadata:
  4   name: security-context-demo-2
  5 spec:
  6   securityContext:
  7     runAsUser: 1000
  8   containers:
  9   - name: sec-ctx-demo-2
 10     image: tomcat
 11     securityContext:
 12       runAsUser: 2000
 13       allowPrivilegeEscalation: false

標籤：Linux

上一篇：作業系統-記憶體磁區與分頁

下一篇：誰會用MAC.icc ，或者有這個東西啊