Kubernetes v1.33：默认启用用户命名空间！
原文英文，约2100词，阅读约需8分钟。
📝
内容提要
Kubernetes v1.33 默认启用用户命名空间，允许容器使用不同的 UID/GID，增强安全性，防止横向移动，提高主机隔离，并支持在容器内运行特权操作。
🔎
延伸解读
用户命名空间的安全优势
Kubernetes v1.33 默认启用用户命名空间，显著提高了容器的安全性。通过将容器的 UID/GID 与主机隔离，即使容器逃逸，攻击者也无法获得主机的特权。这种隔离机制有效防止了横向移动，降低了潜在的安全风险。
配置用户命名空间的简易性
启用用户命名空间的配置过程非常简单，只需在 Pod 规范中设置 hostUsers: false。这样，用户可以在不修改应用程序的情况下，以非根用户身份运行容器，降低了对主机的影响，适合多种应用场景。
内核版本与文件系统的兼容性
使用用户命名空间时，确保文件系统支持 idmap 挂载至关重要。对于低于 6.3 的内核版本，需避免使用 tmpfs 文件系统，以确保容器的正常运行和安全性。了解所用文件系统的兼容性，可以帮助用户更好地配置 Kubernetes 环境。
❓
Q&A
Kubernetes v1.33 中用户命名空间的主要功能是什么？
Kubernetes v1.33 默认启用用户命名空间，允许容器使用不同的 UID/GID，从而增强安全性，防止横向移动，提高主机隔离。
如何在 Kubernetes 中配置 pod 使用用户命名空间？
只需在 pod 规格中设置 hostUsers: false 即可配置 pod 使用用户命名空间。
用户命名空间如何提高容器的安全性？
用户命名空间通过将容器的 UID/GID 映射到主机的非特权用户，防止容器逃逸后获得主机权限，从而提高安全性。
使用用户命名空间时，容器能否以非根用户身份运行？
是的，用户命名空间允许容器以非根用户身份运行，而无需修改应用程序。
用户命名空间的三个主要好处是什么？
用户命名空间的三个主要好处是：防止横向移动、增强主机隔离、支持新的用例。
在 Kubernetes 中使用用户命名空间需要满足哪些要求？
使用用户命名空间需要满足 Linux 内核支持，并且需要配置支持 idmap 挂载的文件系统。
🏷️
