security - 在 Kubernetes 中使用 runAsNonRoot

Question

我们筹划了很久才推出securityContext: runAsNonRoot: true现在作为我们 pod 配置的要求。

今天测试这个我了解到，自从 v1.8.4 (我认为)您还必须为运行容器的用户指定一个特定的 UID，例如 runAsUser: 333 .

这意味着我们不仅要告诉开发人员确保他们的容器不以 root 身份运行，而且还要指定他们应该以何种身份运行的特定 UID，这让我们在介绍时遇到了更大的问题。

我是否正确理解了这一点？其他人在这个领域做什么？去杠杆runAsNonRoot现在是否要求 Docker 容器使用特定且已知的 UID 运行？

Answer 1

Kubernetes Pod SecurityContext 提供了两个选项 runAsNonRoot和 runAsUser强制非root用户。您可以单独使用这两个选项，因为它们测试不同的配置。

当您设置 runAsNonRoot: true您要求容器将与具有除 0 以外的任何 UID 的用户一起运行。无论您的用户具有哪个 UID。
当您设置 runAsUser: 333您要求容器与 UID 333 的用户一起运行。