Kubernetes v1.37：KubeletInUserNamespace（即无根模式）升级至Beta
内容提要
Kubernetes v1.37将KubeletInUserNamespace特性升级至beta，允许节点组件以非root用户运行于Linux用户命名空间，增强安全性。此功能与pod用户命名空间不同但可结合，实现嵌套Kubernetes。它限制漏洞影响，但需配合seccomp等加固。支持工具包括kind、minikube、Usernetes和k3s，未来计划GA。
延伸解读
与Pod用户命名空间的区别
KubeletInUserNamespace与Pod的用户命名空间（hostUsers: false）不同：前者让节点组件（kubelet、CRI/OCI运行时、CNI插件等）以非root用户运行在用户命名空间中，而后者仅将Pod放入用户命名空间，节点组件仍以root运行。两者不冲突，可结合使用，实现嵌套Kubernetes，无需完全特权模式。
安全收益与局限
该特性通过将节点组件限制在非root用户命名空间，可缓解容器逃逸漏洞（如kernel.core_pattern等）的影响，防止攻击者篡改内核或引导程序。但用户命名空间无法缓解内核自身漏洞，需配合seccomp等传统加固措施。此外，可能影响特定CNI/CSI驱动的兼容性。
支持工具与使用方式
用户命名空间需在Kubernetes外部创建，例如使用Rootless Docker。kind和minikube支持在rootless Docker/Podman中运行集群；Usernetes支持多节点rootless集群及实验性的Kubernetes-in-Kubernetes模式；k3s则无需外部运行时即可实现rootless。具体配置需参考各工具文档。
Q&A
Kubernetes v1.37中KubeletInUserNamespace特性升级到什么阶段？
Kubernetes v1.37将KubeletInUserNamespace特性门控升级至Beta阶段。
KubeletInUserNamespace特性（无根模式）是什么？
该特性允许所有节点组件（如kubelet、CRI和OCI运行时、CNI插件、kube-proxy）以非root用户身份在主机上运行，利用Linux用户命名空间，也称为无根模式。
KubeletInUserNamespace与pod用户命名空间有何区别？
KubeletInUserNamespace将节点组件放入用户命名空间并以非root运行，而pod用户命名空间（hostUsers: false）仅将pod放入用户命名空间，但节点组件仍以root运行。两者不冲突，可结合使用。
KubeletInUserNamespace特性如何增强安全性？
通过将节点组件限制在用户命名空间中，即使发生容器逃逸漏洞，攻击者也只能获得非root用户权限，无法修改内核、引导加载程序或固件，从而限制漏洞影响。
KubeletInUserNamespace有哪些限制或注意事项？
用户命名空间无法缓解内核本身的漏洞，需配合seccomp等加固措施；可能破坏某些CNI和CSI驱动的兼容性；用户命名空间必须在Kubernetes外部创建，例如使用Rootless Docker。
如何运行无根模式的Kubernetes集群？
可以使用kind、minikube、Usernetes或k3s等工具。例如，使用kind在rootless Docker中创建集群，或使用minikube配合rootless Docker。Usernetes支持多节点，k3s无需外部运行时。
KubeletInUserNamespace特性未来的计划是什么？
根据反馈和采用情况，Kubernetes项目计划在未来的版本中将该特性升级为GA（正式发布）。
