kubernetes - 是否可以在 GCP kubernetes 中运行没有特权模式的 gcsfuse？

Question

关注此 guide ，我正在尝试在 GKE 的 pod 内运行 gcsfuse。以下是我正在使用的部署 list :

apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: gcsfuse-test
spec:
  replicas: 1
  template:
    metadata:
      labels:
        app: gcsfuse-test
    spec:
      containers:
        - name: gcsfuse-test
          image: gcr.io/project123/gcs-test-fuse:latest
          securityContext:
            privileged: true
            capabilities:
              add:
                - SYS_ADMIN
          lifecycle:
            postStart:
              exec:
                command: ["mkdir", "/mnt"]
                command: ["gcsfuse", "-o", "nonempty", "cloudsql-p8p", "/mnt"]
            preStop:
              exec:
                command: ["fusermount", "-u", "/mnt"]

但是，我想在我的 GKE 集群中运行没有特权模式的 gcsfuse。
我认为(因为 SO 上的 these 之类的问题)可以使用某些标志运行 docker 镜像，并且无需在特权模式下运行它。
GKE 中有没有办法在不以特权模式运行容器的情况下运行 gcsfuse？

Answer 1

特权模式意味着您已启用所有功能，请参阅 https://stackoverflow.com/a/36441605 .因此，在您的示例中，添加 CAP_SYS_ADMIN 在这里看起来是多余的。

您可以授予所有权限，也可以通过挂载/dev/fuse 并仅授予 SYS_ADMIN 功能(这仍然是一个重要的权限)来执行更细粒度的操作。

我认为我们可以将问题重新表述为:我们可以在没有 SYS_ADMIN 功能的情况下运行 GCSFuse 吗？

其实看起来不太可行，你可以在这里找到相关的 docker 问题:https://github.com/docker/for-linux/issues/321 .

对于大多数项目来说，这不会是一个艰难的禁忌。您可能希望针对您的威胁模型采取行动，并决定它是否可能对您的生产构成安全风险。