Hærdning af pods med securityContext

Sæt runAsNonRoot til true, så Kubernetes nægter at starte en container, der ellers ville køre som root. Det er den standardindstilling med størst effekt, du kan levere.

Aktivér readOnlyRootFilesystem, så containeren ikke kan skrive til sine egne imagelag. Montér en emptyDir til alle stier, som appen faktisk skal kunne skrive til.

De fleste apps har ikke brug for særlige kerneprivilegier, så fjern alle capabilities, og tilføj kun den sjældne funktion, som en arbejdsbelastning virkelig kræver.

Sæt allowPrivilegeEscalation til false, så en proces aldrig kan få flere privilegier, end den startede med, heller ikke via setuid-binære filer. 🔒

Brug fsGroup i poddens securityContext, så monterede volumener ejes af en gruppe, som brugeren uden root-privilegier er medlem af, og du undgår adgangsfejl.

En privileged-container har næsten fuld adgang til værten og bør stort set aldrig forekomme som en standardværdi i et chart. Lad den være udeladt, hvilket betyder false.

Forbind securityContext med values ved hjælp af toYaml, så brugerne kan justere den, men behold de hærdede indstillinger som dine sikre standardværdier.

Disse standardværdier svarer til Kubernetes' restricted Pod Security Standard, så dit chart installeres uden problemer, selv i stramt begrænsede namespaces.

Bekræft, at hærdningen er trådt i kraft, ved at undersøge den kørende pods spec med kubectl get pod -o yaml og kontrollere felterne i securityContext.

Du har hærdet pods med runAsNonRoot, fjernet capabilities, brugt et skrivebeskyttet filsystem og deaktiveret privilegieeskalering. Sikker standardadfærd beskytter alle installationer. ✅