Güvenlik Bağlamlarıyla Yetki Düşürmek

Neden önemli

Kapsayıcı kaçış şiddeti kapsayıcı yetkisine eşittir; en dar yetki kümedeki en ucuz güvenlik denetimidir. CKAD alanları doğrudan ölçer; çünkü salt YAMLdir, hemen uygulanır etkileri vardır: runAsUser, yetenekler, readOnlyRootFilesystem, allowPrivilegeEscalation. Sınavlar aynı nedenle sever, saldırganlar aynı nedenle nefret eder.

Kavramlar

Pod düzeyi bağlam paylaşılan varsayılanları kurar: tüm kapsayıcılara runAsUser artı runAsGroup, bağlı birimler grup yazılabilir gelsin diye fsGroup ve seçili sysctller. Kapsayıcı düzeyi bağlam kapsayıcı başına geçersiz kılar, keskin aletleri taşır: yetenek düşürme (ALL, sonra uygulamanın kanıtladığı NET_BIND_SERVICE veya neyse geri eklenir), allowPrivilegeEscalation false (roota giden setuid yollarını kapatır), readOnlyRootFilesystem true (uygulamanın gerçekten yazdığı karalama yollarına emptyDir bağlamalarıyla) ve runAsNonRoot true (yalnız uid 0 koşan imajları reddeder).

Retler temiz okunur: yazmalardaki izin hataları dosya sistemi veya kullanıcı yanlış demektir, yetenek hataları denetim veya dmesg içinde eksik yeteneği adlandırır, başlangıçta runAsNonRoot ile CrashLoop imajın root istediğini söyler; düzeltilir veya değiştirilir.

Uygulamalı örnek

Nginx biçimli uygulama, ihtiyaçlarına soyunmuş:

securityContext:
  runAsUser: 10001
  runAsGroup: 30001
  fsGroup: 30001
containers:
- name: web
  securityContext:
    allowPrivilegeEscalation: false
    readOnlyRootFilesystem: true
    runAsNonRoot: true
    capabilities:
      drop: [ALL]
      add: [NET_BIND_SERVICE]
  volumeMounts:
  - { name: tmp, mountPath: /tmp }
  - { name: cache, mountPath: /var/cache/nginx }
volumes:
- { name: tmp, emptyDir: {} }
- { name: cache, emptyDir: {} }

kubectl exec uid 10001 kimliğini kanıtlar; bağlamalar dışı yazma tasarım gereği başarısız olur; 80. port bağlama tutulan tek yetenekle çalışır. Her izin ihtiyaca izlenir, alışkanlığa hiçbir şey yok.

Sınav notları

readOnlyRootFilesystem açılışta yazan uygulamaları kırar: bayrağı düşürmek yerine tam karalama bağlamaları ekle. ALL yetenek düşürmek özellikleri sessiz öldürür (düşük port bağlama, ham soket, chown): hatadan tek tek geri ekle. Ve fsGroupsuz runAsUser birim yazmalarını roota ait bırakır: uygulama bağlamalara yazıyorsa eşleştir.