0Pricing
Helm Academy · Lezione

Hardening dei Pod con securityContext

Integrazione nei template di valori predefiniti con privilegi minimi

Hardening dei Pod con securityContext è una lezione Helm Academy gratuita su CoddyKit. Questa è la lezione 3 di 4. Puoi leggere la lezione completa qui gratuitamente — poi esercitati direttamente nel browser con un editor di codice integrato e un tutor IA disponibile 24/7. Fa parte del percorso di apprendimento Helm Academy, e i tuoi progressi si sincronizzano tra il web e l'app CoddyKit. Il corso Helm Academy include 4 lezioni in totale.

Perché rafforzare la sicurezza per impostazione predefinita

Un chart distribuito con valori predefiniti basati sul principio del privilegio minimo protegge ogni cluster in cui viene installato. La sicurezza incorporata nei template è più affidabile della speranza che gli utenti si ricordino di aggiungerla.

Due livelli di securityContext

Può impostare un securityContext a livello di pod per tutti i container e uno più specifico per ogni container. L'impostazione del container ha la precedenza su quella del pod per quel container.

Non esegua il container come root

Imposti runAsNonRoot su true, così Kubernetes rifiuta di avviare un container che verrebbe eseguito come root. È il valore predefinito con il maggiore impatto sulla sicurezza che possa distribuire.

securityContext:
  runAsNonRoot: true
  runAsUser: 1000

Filesystem root in sola lettura

Attivi readOnlyRootFilesystem, così il container non può scrivere nei propri layer dell'immagine. Monti un emptyDir per tutti i percorsi in cui l'app deve effettivamente scrivere.

containers:
- name: app
  securityContext:
    readOnlyRootFilesystem: true

Rimuova le capability Linux

La maggior parte delle app non ha bisogno di poteri speciali del kernel, quindi rimuova tutte le capability e riaggiunga solo quella rara che il carico di lavoro richiede realmente.

capabilities:
  drop:
    - ALL

Blocchi l'escalation dei privilegi

Imposti allowPrivilegeEscalation su false, così un processo non può mai ottenere più privilegi di quelli con cui è stato avviato, neppure tramite binari setuid. 🔒

allowPrivilegeEscalation: false

Imposti fsGroup

Usi fsGroup nel securityContext del pod, così i volumi montati appartengono a un gruppo di cui fa parte l'utente non root, evitando errori di autorizzazione.

securityContext:
  fsGroup: 2000

Non imposti mai privileged su True

Un container privileged ha un accesso quasi completo all'host e non dovrebbe praticamente mai comparire nei valori predefiniti di un chart. Lo lasci non impostato, il che equivale a false.

Lo renda sostituibile

Colleghi il securityContext ai values usando toYaml, così gli utenti possono modificarlo, ma mantenga le impostazioni rafforzate come valori predefiniti sicuri.

securityContext:
  {{- toYaml .Values.securityContext | nindent 4 }}

Si allinei ai Pod Security Standards

Questi valori predefiniti corrispondono al Pod Security Standard Kubernetes restricted, così il chart viene installato correttamente anche nei namespace sottoposti a restrizioni rigorose.

Verifichi dopo l'installazione

Confermi che il rafforzamento sia stato applicato esaminando la spec del pod in esecuzione con kubectl get pod -o yaml e controllando i campi securityContext.

kubectl get pod myapp -o jsonpath='{.spec.securityContext}'

Verifica rapida

Quale impostazione impedisce l'avvio di un container se verrebbe eseguito come utente root?

Riepilogo

Ha rafforzato la sicurezza dei pod con runAsNonRoot, rimuovendo le capability, usando un filesystem in sola lettura e disabilitando l'escalation dei privilegi. Valori predefiniti sicuri proteggono ogni installazione. ✅

Domande Frequenti

La lezione «Hardening dei Pod con securityContext» è gratuita?

Sì — il testo completo di «Hardening dei Pod con securityContext» è gratuito qui sul web. Per esercitarvi in modo interattivo (un editor di codice integrato e un tutor IA 24/7) e sbloccare il resto del corso Helm Academy, passa a CoddyKit PRO. Il corso Helm Academy include 4 lezioni in totale.

Cosa imparerò in «Hardening dei Pod con securityContext»?

Integrazione nei template di valori predefiniti con privilegi minimi Eserciti Helm Academy con codice pratico che esegui direttamente nel browser, e un tutor IA 24/7 risponde alle tue domande mentre lavori sulla lezione.

Ho bisogno di esperienza per iniziare Helm Academy?

Non è richiesta alcuna esperienza precedente. Helm Academy su CoddyKit è strutturato per principianti e studenti avanzati, quindi puoi iniziare da qui o dall'inizio e procedere al tuo ritmo. Questa è la lezione 3 di 4.

Quanto tempo richiede la lezione «Hardening dei Pod con securityContext»?

La maggior parte delle lezioni CoddyKit richiede circa 5–10 minuti. Ogni lezione è breve e interattiva, quindi fai progressi costanti e riprendi esattamente da dove hai lasciato su web e app.

Posso scrivere ed eseguire codice in questa lezione Helm Academy?

Sì. Ogni lezione Helm Academy include un editor di codice integrato, quindi scrivi ed esegui codice reale direttamente nel tuo browser e ricevi feedback istantaneo dall'IA — nessuna configurazione locale necessaria.

Tutte le lezioni di questo corso

  1. Label standard e convenzioni di denominazione
  2. Valori predefiniti sensati e documentati
  3. Hardening dei Pod con securityContext
  4. Blocco delle versioni ed evitare latest
← Torna a Helm Academy