Kubernetes Blog
·
Kubernetes v1.33：默认启用用户命名空间！
内容提要
Kubernetes v1.33 默认启用用户命名空间，允许容器使用不同的 UID/GID，增强安全性，防止横向移动，提高主机隔离，并支持在容器内运行特权操作。
关键要点
-
Kubernetes v1.33 默认启用用户命名空间，允许容器使用不同的 UID/GID。
-
用户命名空间是 Linux 内核的特性，隔离容器的 UID/GID 与主机的 UID/GID。
-
用户命名空间的三个主要好处：防止横向移动、增强主机隔离、支持新的用例。
-
如果容器使用用户命名空间，容器逃逸后在主机上没有特权。
-
用户命名空间允许在不影响主机的情况下，容器获得某些特权。
-
配置 pod 使用用户命名空间只需设置 hostUsers: false。
-
idmap 挂载是 Linux 内核特性，支持 UID/GID 映射，简化卷的支持。
-
需要支持 idmap 挂载的文件系统包括 PV/PVC 卷和 hostPath 卷。
-
使用低于 6.3 的内核时，需避免使用 tmpfs 文件系统。
-
用户命名空间显著提高了安全性，减少了容器逃逸的风险。
-
用户命名空间支持的容器运行时包括 containerd 和 CRI-O。
-
用户命名空间允许在不修改应用程序的情况下以非根用户身份运行。
延伸解读
用户命名空间的安全优势
Kubernetes v1.33 默认启用用户命名空间，显著提高了容器的安全性。通过将容器的 UID/GID 与主机隔离，即使容器逃逸，攻击者也无法获得主机的特权。这种隔离机制有效防止了横向移动，降低了潜在的安全风险。
配置用户命名空间的简易性
启用用户命名空间的配置过程非常简单，只需在 Pod 规范中设置 hostUsers: false。这样，用户可以在不修改应用程序的情况下，以非根用户身份运行容器，降低了对主机的影响，适合多种应用场景。
内核版本与文件系统的兼容性
使用用户命名空间时，确保文件系统支持 idmap 挂载至关重要。对于低于 6.3 的内核版本，需避免使用 tmpfs 文件系统，以确保容器的正常运行和安全性。了解所用文件系统的兼容性，可以帮助用户更好地配置 Kubernetes 环境。
延伸问答
Kubernetes v1.33 中用户命名空间的主要功能是什么？
Kubernetes v1.33 默认启用用户命名空间，允许容器使用不同的 UID/GID，从而增强安全性，防止横向移动，提高主机隔离。
如何在 Kubernetes 中配置 pod 使用用户命名空间？
只需在 pod 规格中设置 hostUsers: false 即可配置 pod 使用用户命名空间。
用户命名空间如何提高容器的安全性？
用户命名空间通过将容器的 UID/GID 映射到主机的非特权用户，防止容器逃逸后获得主机权限，从而提高安全性。
使用用户命名空间时，容器能否以非根用户身份运行？
是的，用户命名空间允许容器以非根用户身份运行，而无需修改应用程序。
用户命名空间的三个主要好处是什么？
用户命名空间的三个主要好处是：防止横向移动、增强主机隔离、支持新的用例。
在 Kubernetes 中使用用户命名空间需要满足哪些要求？
使用用户命名空间需要满足 Linux 内核支持，并且需要配置支持 idmap 挂载的文件系统。
