k8s在创建和管理Pod时,可以设置一些安全限制。它包括以下几个方面:
1.自主访问控制(DAC):每个容器都有一个默认的用户 ID,可以通过 PodSecurityContext 或 SecurityContext 来修改它。通过限制各个容器使用不同的用户 ID 或组 ID,可以减小容器之间的攻击面。
2.Linux功能:将内核管理权限分为多个子集授权,例如CAP_NET_ADMIN、CAP_SYS_TIME等,从而运行容器仅具有一部分内核功能来管理任务。
3.SELinux 或 AppArmor:Kubernetes 支持使用 SELinux 或 AppArmor 安全模块来限制容器访问系统资源.
4.特权模式容器:让容器拥有root用户所有的内核功能。
标签:容器,上下文,SELinux,内核,AppArmor,k8s,ID From: https://www.cnblogs.com/bad-joker/p/17381901.html