kubernetes - 为什么 k8s 示例限制 PodSecurityPolicy 不限制 RunAsGroup？

Question

K8s 文档有一个受限 PodSecurityPolicy 的例子:
https://kubernetes.io/docs/concepts/policy/pod-security-policy/#example-policies
它限制 'supplementalGroups' 和 'fsGroup' 但不限制 'runAsGroup'

  supplementalGroups:
    rule: 'MustRunAs'
    ranges:
      # Forbid adding the root group.
      - min: 1
        max: 65535
  fsGroup:
    rule: 'MustRunAs'
    ranges:
      # Forbid adding the root group.
      - min: 1
        max: 65535

因此它允许 securityContext 中的容器指定 id 为 0 的根组。这不是一个问题吗？以下不应该

  runAsGroup:
    rule: 'MustRunAs'
    ranges:
      # Forbid adding the root group.
      - min: 1
        max: 65535

被添加到限制性的 PodSecruityPolicy 中？

Answer 1

Shouldn't the following...be added to a restrictive PodSecruityPolicy?

可以选择限制您的 primary group ，如果您没有它，那么您的主要组将不会受到限制。所以基本上，pods 仍然可以以 root 身份运行容器 Group: 0 . supplementalGroups表示除主要组(次要组)之外添加到用户的任何附加组。在 *nix 系统🖥️ 中，您可以让进程运行为属于 primary group and a set of limited secondary groups .
✌️