Kubernetes最近推出了用户命名空间支持，以提高安全性并减少特权升级攻击的影响。然而，用户命名空间并未解决共享内核的安全问题，内核漏洞仍然存在风险。相比之下，Edera等基础设施提供商通过虚拟化技术为每个工作负载提供独立内核，从而消除了共享内核的风险，这对多租户环境的安全性至关重要。

Kubernetes 1.33于2025年4月23日发布，默认启用用户命名空间支持，增强安全性。每个Pod使用独特的非特权UID/GID，防止容器访问主机资源，简化了Pod的安全管理，适用于CI/CD管道，但需满足特定基础设施要求。

Kubernetes v1.33 默认启用用户命名空间，允许容器使用不同的 UID/GID，增强安全性，防止横向移动，提高主机隔离，并支持在容器内运行特权操作。

Kubernetes 1.33版本发布，新增64项功能，重点包括原生支持侧车容器、动态资源分配和用户命名空间，提升了安全性和可扩展性，简化了管理。

Kubernetes v1.33即将发布，Endpoints API将被弃用，建议迁移至EndpointSlices。kube-proxy版本信息和Windows Pod的主机网络支持将被移除。新特性包括Linux Pod的用户命名空间支持和Pod资源的动态更新。

文章讨论了无根模式下运行Docker的安全性。虽然可以在无根权限下部署Docker容器，但某些组件仍需根权限。无根Docker通过用户命名空间实现特权隔离，安装简单，但存在无法访问特权端口等限制。尽管不是完美解决方案，无根模式仍能提高安全性，适合希望增强Docker安全性的用户。