security - kubernetes securitycontext runAsNonRoot 不工作

Question

我正在使用 securityContext 进行测试，但是当我将 runAsNonRoot 设置为 true 时我无法启动 pod。我使用 vagrant 以用户 abdelghani 的身份将一个 master 和两个 minions 和 ssh 部署到主机:

id $USER
uid=1001(abdelghani) gid=1001(abdelghani) groups=1001(abdelghani),27(sudo)

集群信息:

Kubernetes 版本:4.4.0-185-generic正在使用的云:(如果不在公共(public)云上，则放置裸机)安装方式:手动主机操作系统:ubuntu16.04.6CNI 和版本:CRI 和版本:

apiVersion: v1
kind: Pod
metadata:
  name: buggypod
spec:
  containers:
  - name: container
    image: nginx
    securityContext:        
      runAsNonRoot: true

我愿意:kubectl apply -f pod.yml它说 pod mybugypod created 但是当我检查时:kubectl 获取 podpod 的状态是 CreateContainerConfigError

我做错了什么？

Answer 1

我尝试根据您的要求运行 pod。它失败的原因是 Nginx 需要修改 root 拥有的/etc/中的某些配置，当您运行 AsNonRoot 时它失败，因为它无法编辑 Nginx 默认配置。

这是您在运行时实际遇到的错误。

10-listen-on-ipv6-by-default.sh: error: can not modify /etc/nginx/conf.d/default.conf (read-only file system?)
/docker-entrypoint.sh: Launching /docker-entrypoint.d/20-envsubst-on-templates.sh
/docker-entrypoint.sh: Configuration complete; ready for start up
2020/08/13 17:28:55 [warn] 1#1: the "user" directive makes sense only if the master process runs with super-user privileges, ignored in /etc/nginx/nginx.conf:2
nginx: [warn] the "user" directive makes sense only if the master process runs with super-user privileges, ignored in /etc/nginx/nginx.conf:2
2020/08/13 17:28:55 [emerg] 1#1: mkdir() "/var/cache/nginx/client_temp" failed (13: Permission denied)
nginx: [emerg] mkdir() "/var/cache/nginx/client_temp" failed (13: Permission denied)

我运行的规范。

apiVersion: v1
kind: Pod
metadata:
  creationTimestamp: null
  labels:
    run: buggypod
  name: buggypod
spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
  containers:
  - image: nginx
    name: buggypod
    resources: {}
  dnsPolicy: ClusterFirst
  restartPolicy: Always
status: {}

我的建议是您使用 Dockerfile 创建一个自定义 Nginx 镜像，该镜像还创建用户并为文件夹/var/cache/nginx、/etc/nginx/conf.d、/var/log/nginx 提供新权限创建的用户。这样您就可以以非根用户身份运行容器。