Il peut être difficile de gérer le degré de privilèges accordés à chaque pod et conteneur dans un conteneur Kubernetes. Nous pouvons utiliser les fonctionnalités Kubernetes SecurityContext pour ajouter ou supprimer les fonctionnalités Linux du pod et du conteneur afin d'augmenter la sécurité du conteneur. Cet article se concentre sur l'utilisation de securityContext pour implémenter un exemple simple d'ajout et de suppression de fonctionnalités. La configuration d'un fichier yaml pour supprimer toutes les fonctionnalités et ajouter une seule fonctionnalité à un conteneur est fournie dans l'exemple d'exemple. Dans cet article, les commandes proc et capsh sont utilisées pour afficher les capacités du conteneur.

Étape 1 : Démarrez le serveur Minikube

Tout d'abord, démarrez le serveur minikube afin de pouvoir exécuter votre application et utiliser les instructions kubectl. Vous pouvez déployer vos nœuds, vos pods et même votre cluster à l'aide du serveur minikube dans l'environnement Kubernetes. La commande suivante doit être utilisée pour maintenir le minikube en mode actif :

Ce faisant, le serveur minikube est activé et l'environnement Kubernetes est prêt à être utilisé.

Étape 2: Créer un fichier YAML Kubernetes

Dans la deuxième étape, créez un fichier YAML pour déployer un pod.

Suivez les étapes pour créer un fichier yaml à l'aide de nano :

• Accédez au chemin du répertoire dans lequel vous souhaitez créer le fichier ou modifiez un fichier existant.
• Saisissez la commande nano suivie du nom du fichier.

Exécutez la commande nano suivante. Il crée un fichier de configuration YAML nommé 'nano podsample.yaml'.

Passons à l'étape suivante qui consiste à vous aider à savoir comment configurer un fichier podsample.yaml.

Étape 3: Configurer le fichier YAML

Nous ajoutons l'outil capsh à l'étape précédente afin que nous puissions voir les capacités de notre conteneur.

Notez qu'aucun de ces paramètres n'est configuré pour une section securityContext pour ce conteneur. Ainsi, ils sont tous définis sur les valeurs par défaut du système. Considérez le fait que ce conteneur fonctionne comme l'utilisateur par défaut qui est fourni dans le Dockerfile à partir duquel il est construit si aucun utilisateur n'est défini pour lui dans Kubernetes. Pour de nombreux conteneurs, cet utilisateur par défaut est la racine.

Étape 4: Créer un module

Dans cette étape, créons podsample.yaml avec la commande jointe suivante :

Étape 5 : Vérifier les capacités

À l'étape précédente, un pod est créé et en cours d'exécution.

Maintenant que nous avons un shell à l'intérieur, nous pouvons utiliser capsh pour vérifier ses capacités à l'aide de la commande suivante :

A l'aide de la commande capsh, il est possible de voir les capacités par défaut du conteneur qui sont listées comme suit :

Nous pouvons observer à partir de la sortie donnée que le conteneur a de nombreuses fonctionnalités par défaut qui sont données au conteneur lors de l'exécution.

Étape 6 : Jeter le Seul Capacité Oui dans le contexte de sécurité Kubernetes

Dans cette étape, nous supprimons la capacité unique du conteneur.

Configurons le fichier yaml à l'aide de la commande suivante :

Après cela, déplacez-vous pour configurer le fichier droppod.yaml à l'aide de la commande suivante :

Étape 7 : Configurer pour ajouter la capacité unique dans le fichier YAML

Dans cette étape, ouvrez le fichier yaml (dropped.yaml) qui a été créé à l'étape 6. Ensuite, définissez le conteneur de sorte qu'il n'ait plus accès à la capacité CAP_MKNOD, ce qui supprime la possibilité de créer les nouveaux nœuds du système de fichiers.

Le fichier configuré est comme indiqué :

Étape 8 : Vérifier les capacités

Le fichier yaml est configuré pour supprimer la capacité CAP_MKNOD.

Dans cette étape, exécutez et exécutez le fichier dropcaps.yaml pour vérifier les fonctionnalités du conteneur à l'aide de la commande suivante :

Les capacités peuvent être vérifiées en exécutant le fichier dropcaps :

Nous pouvons observer que ce pod a abandonné la capacité CAP_MKNOD par rapport au premier pod.

Étape 9 : Supprimer toutes les fonctionnalités dans Kubernetes SecurityContext

Étant donné que Kubernetes peut supprimer une seule fonctionnalité, il peut également supprimer toutes les fonctionnalités via securityContext. Dans cette étape, supprimez toutes les fonctionnalités du conteneur en impliquant la commande donnée :

Ensuite, configurez le fichier samplenocap.yaml à l'aide de la commande suivante :

Passons maintenant à l'étape suivante pour supprimer toutes les capacités dans nos paramètres securityContext.

Étape 10 : Configurer toutes les fonctionnalités dans le fichier YAML

Dans cette étape, ouvrez le fichier yaml qui a été créé à l'étape 9. Ensuite, configurez à l'intérieur du container.securityContext et supprimez toutes les fonctionnalités du conteneur.

Le fichier configuré est comme indiqué :

Étape Onze : Vérifier les capacités

Exécutez les nocaps dans capsh pour voir les informations sur les capacités. Dans cette étape, utilisez la commande suivante et affichez toutes les fonctionnalités du conteneur :

Les capacités peuvent être vérifiées dans l'illustration suivante en exécutant le fichier yaml samplenocaps dans capsh :

La sortie précédente montre que le courant = '' et l'ensemble de délimitation = '' sont maintenant vides. Les capacités sont supprimées avec succès.

Étape 1 2 : Installer le Bash

Dans cette étape, installez Bash via apk car certaines fonctions système ne fonctionneront pas si nous n'avons aucune capacité. Même si notre conteneur fonctionne en tant que racine, l'installation du package Bash échoue.

Étape 1 3 : Vérifier les informations sur les capacités

Il existe plusieurs façons d'afficher les capacités de notre conteneur, telles que l'utilisation des commandes capsh et proc. Dans cette étape, nous affichons les capacités du conteneur à l'aide de la commande proc et proc affiche les capacités sous forme de bitmap. Bien qu'il ne soit pas aussi lisible que le résultat de capsh, chaque bit défini ici représente une certaine capacité.

Ici, nous pouvons voir que ce conteneur particulier n'a pas de fonctionnalités activées ; toutes ces valeurs sont nulles.

Étape 1 4 : Ajout d'une capacité unique dans Kubernetes SecurityContext

Dans les étapes précédentes, nous avons supprimé une seule capacité qui est CAP_MKNOD et supprimé toutes les capacités. Mais, dans cette étape, nous pouvons rajouter les fonctionnalités.

Exécutez la commande suivante pour créer le fichier yAML :

Après cela, configurez le fichier sampleadd.yaml.

Maintenant, essayons le fichier sampleadd.yaml et ajoutons une seule capacité dans nos paramètres securityContext.

Étape 1 5 : Configurer la capacité unique dans le fichier YAML

Maintenant, configurons le fichier en ajoutant la capacité dans spec.container.securityContext dansabilities.add ['MKNOD'].

La capacité est affichée dans le fichier YAML.

Étape 16 : Vérifier les capacités

Dans cette étape, exécutez les addcaps pour vérifier les fonctionnalités à l'aide de la commande suivante :

La capacité supplémentaire peut être vue dans la sortie suivante :

courant = cap_mknod+ep

Ensemble englobant = cap_mknod

Conclusion

Vous avez d'abord appris à partir de l'exemple implémenté les fonctionnalités par défaut du conteneur qui sont affectées au moment de l'exécution et affichées avec la commande capsh. Ensuite, vous avez appris à déposer une seule capacité dans un conteneur nommé CAP_MKNOD. Ensuite, vous avez également appris à supprimer toutes les fonctionnalités du conteneur à l'aide de la configuration //drop: –all. Ensuite, nous avons utilisé deux façons d'afficher les capacités des conteneurs - en utilisant les commandes capsh et proc.