Kubernetes Blog
·
Kubernetes v1.33：默认启用用户命名空间！
💡
原文英文，约2100词，阅读约需8分钟。
📝
内容提要
Kubernetes v1.33 默认启用用户命名空间，允许容器使用不同的 UID/GID，增强安全性，防止横向移动，提高主机隔离，并支持在容器内运行特权操作。
🎯
关键要点
- Kubernetes v1.33 默认启用用户命名空间，允许容器使用不同的 UID/GID。
- 用户命名空间是 Linux 内核的特性，隔离容器的 UID/GID 与主机的 UID/GID。
- 用户命名空间的三个主要好处：防止横向移动、增强主机隔离、支持新的用例。
- 如果容器使用用户命名空间，容器逃逸后在主机上没有特权。
- 用户命名空间允许在不影响主机的情况下，容器获得某些特权。
- 配置 pod 使用用户命名空间只需设置 hostUsers: false。
- idmap 挂载是 Linux 内核特性，支持 UID/GID 映射，简化卷的支持。
- 需要支持 idmap 挂载的文件系统包括 PV/PVC 卷和 hostPath 卷。
- 使用低于 6.3 的内核时，需避免使用 tmpfs 文件系统。
- 用户命名空间显著提高了安全性，减少了容器逃逸的风险。
- 用户命名空间支持的容器运行时包括 containerd 和 CRI-O。
- 用户命名空间允许在不修改应用程序的情况下以非根用户身份运行。
❓
延伸问答
Kubernetes v1.33 中用户命名空间的主要功能是什么？
Kubernetes v1.33 默认启用用户命名空间，允许容器使用不同的 UID/GID，从而增强安全性，防止横向移动，提高主机隔离。
如何在 Kubernetes 中配置 pod 使用用户命名空间？
只需在 pod 规格中设置 hostUsers: false 即可配置 pod 使用用户命名空间。
用户命名空间如何提高容器的安全性？
用户命名空间通过将容器的 UID/GID 映射到主机的非特权用户，防止容器逃逸后获得主机权限，从而提高安全性。
使用用户命名空间时，容器能否以非根用户身份运行？
是的，用户命名空间允许容器以非根用户身份运行，而无需修改应用程序。
用户命名空间的三个主要好处是什么？
用户命名空间的三个主要好处是：防止横向移动、增强主机隔离、支持新的用例。
在 Kubernetes 中使用用户命名空间需要满足哪些要求？
使用用户命名空间需要满足 Linux 内核支持，并且需要配置支持 idmap 挂载的文件系统。
🏷️
标签
➡️
