Ar putea fi dificil să gestionați gradul de privilegii care sunt furnizate fiecărui Pod și container dintr-un container Kubernetes. Putem folosi capacitățile Kubernetes SecurityContext pentru a adăuga sau șterge capabilitățile Linux din Pod și Container pentru a crește securitatea containerului. Acest articol se concentrează pe utilizarea securityContext pentru a implementa un exemplu simplu de adăugare și ștergere a capabilităților. Configurația unui fișier yaml pentru a șterge toate capabilitățile și pentru a adăuga o singură capacitate la un container este furnizată în exemplul exemplu. În acest articol, comenzile proc și capsh sunt folosite pentru a afișa capabilitățile containerului.

Pasul 1: Porniți serverul Minikube

Mai întâi, porniți serverul minikube, astfel încât să puteți rula aplicația și să utilizați instrucțiunile kubectl. Vă puteți implementa nodurile, podurile și chiar clusterele folosind serverul minikube în mediul Kubernetes. Următoarea comandă trebuie utilizată pentru a menține minikube-ul în modul activ:

Procedând astfel, serverul minikube este pornit și mediul Kubernetes este gata de utilizare.

Pasul 2: Creați un fișier YAML Kubernetes

În al doilea pas, creați un fișier YAML pentru a implementa un pod.

Urmați pașii pentru a crea un fișier yaml folosind nano:

• Accesați calea directorului în care doriți să creați fișierul sau să modificați un fișier existent.
• Introdu comanda nano urmată de numele fișierului.

Rulați următoarea comandă nano. Acesta creează un fișier de configurare YAML numit „nano podsample.yaml”.

Să trecem la pasul următor, care este să vă ajute să știți cum să configurați un fișier podsample.yaml.

Pasul 3: Configurați fișierul YAML

Adăugăm instrumentul capsh în pasul precedent, astfel încât să putem vedea capacitățile containerului nostru.

Rețineți că niciunul dintre acești parametri nu este configurat pentru o secțiune securityContext pentru acest container. Astfel, toate sunt setate la valorile implicite ale sistemului. Luați în considerare faptul că acest container funcționează ca utilizator implicit, care este furnizat în fișierul Dockerfile din care este construit dacă nu este definit niciun utilizator pentru el în Kubernetes. Pentru multe containere, acest utilizator implicit este rădăcina.

Pasul 4: Creați un Pod

În acest pas, să creăm podsample.yaml cu următoarea comandă atașată:

Pasul 5: Verificați capacitățile

În pasul anterior, un pod este creat și rulează.

Acum că avem un shell în interiorul acestuia, putem folosi capsh pentru a-și verifica capacitățile utilizând următoarea comandă:

Folosind comanda capsh, este posibil să vedeți capacitățile implicite ale containerului, care sunt enumerate după cum urmează:

Putem observa din rezultatul dat că containerul are multe capabilități implicite care sunt date containerului în timpul execuției.

Pasul 6: Aruncă Singur Capacitatea Y în Kubernetes SecurityContext

În acest pas, renunțăm la capacitatea unică a containerului.

Să configuram fișierul yaml folosind următoarea comandă:

După aceea, treceți la configurarea fișierului droppod.yaml folosind următoarea comandă dată:

Etapa 7 : Configurați pentru a adăuga capacitatea unică în fișierul YAML

În acest pas, deschideți fișierul yaml (dropped.yaml) care a fost creat în Pasul 6. Apoi, setați containerul astfel încât să nu mai aibă acces la capacitatea CAP_MKNOD, ceea ce elimină capacitatea de a crea noi noduri de sistem de fișiere.

Fișierul configurat este așa cum se arată:

Etapa 8 : Verificați capacitățile

Fișierul yaml este configurat pentru a elimina capacitatea CAP_MKNOD.

În acest pas, executați și rulați fișierul dropcaps.yaml pentru a verifica capabilitățile containerului folosind următoarea comandă:

Capacitățile pot fi verificate rulând fișierul dropcaps:

Putem observa că acest pod a scăzut capacitatea CAP_MKNOD în comparație cu primul pod.

Etapa 9 : Eliminați toate capabilitățile în Kubernetes SecurityContext

Deoarece Kubernetes poate renunța la o singură capacitate, poate renunța și la toate capabilitățile prin securityContext. În acest pas, renunțați la toate capacitățile containerului, implicând comanda dată:

După aceea, configurați fișierul samplenocap.yaml folosind următoarea comandă:

Acum, să trecem la pasul următor pentru a renunța la toate capacitățile din setările noastre securityContext.

Pasul 10: Configurați toate capabilitățile din fișierul YAML

În acest pas, deschideți fișierul yaml care a fost creat la pasul 9. Apoi, configurați în interiorul container.securityContext și aruncați toate capacitățile containerului.

Fișierul configurat este așa cum se arată:

Etapa unsprezece : Verificați capacitățile

Rulați nocaps în capsh pentru a vedea informațiile despre capabilități. În acest pas, utilizați următoarea comandă și afișați toate capabilitățile containerului:

Capacitățile pot fi verificate în următoarea ilustrație, rulând fișierul samplenocaps yaml în capsh:

Ieșirea anterioară arată că current='' și bounding set='' sunt goale acum. Capacitățile sunt renunțate cu succes.

Pasul 1 2 : Instalați Bash

În acest pas, instalați Bash prin apk, deoarece unele funcții ale sistemului nu vor funcționa dacă nu avem deloc capabilități. Chiar dacă containerul nostru funcționează ca rădăcină, instalarea pachetului Bash eșuează.

Pasul 1 3 : Verificați informațiile despre capacități

Există mai multe moduri de a vizualiza capabilitățile containerului nostru, cum ar fi utilizarea comenzilor capsh și proc. În acest pas, afișăm capacitățile containerului folosind comanda proc și proc afișează capacități ca bitmap. Deși nu este la fel de lizibil ca rezultatul din capsh, fiecare bit care este definit aici reprezintă o anumită capacitate.

Aici, putem vedea că acest container special nu are capabilități activate; toate aceste valori sunt zero.

Pasul 1 4 : Adăugarea unei capacități unice în Kubernetes SecurityContext

În pașii anteriori, am renunțat la o singură capacitate care este CAP_MKNOD și am renunțat la toate capacitățile. Dar, în acest pas, putem adăuga capacitățile înapoi.

Executați următoarea comandă pentru a crea fișierul yAML:

După aceea, configurați fișierul sampleadd.yaml.

Acum, să încercăm fișierul sampleadd.yaml și să adăugăm o singură capacitate în setările noastre securityContext.

Pasul 1 5 : Configurați capacitatea unică în fișierul YAML

Acum, să configuram fișierul adăugând capacitatea în spec.container.securityContext în capabilities.add [„MKNOD”].

Capacitatea este afișată în fișierul YAML.

Etapa 16 : Verificați capacitățile

În acest pas, rulați addcaps pentru a verifica capabilitățile utilizând următoarea comandă:

Capacitatea adăugată poate fi văzută în următorul rezultat dat:

curent = cap_mknod+ep

Set de limite = cap_mknod

Concluzie

Mai întâi ați învățat din exemplul implementat despre capabilitățile implicite ale containerului care sunt atribuite în timpul rulării, care este afișată cu comanda capsh. Apoi, ați învățat să aruncați o singură capacitate într-un container numit CAP_MKNOD. Apoi, ați învățat și cum să renunțați la toate capabilitățile containerului folosind configurația //drop: –all. Apoi, am folosit două moduri de a afișa capabilitățile containerelor – folosind comenzile capsh și proc.