Reforçando os pods com securityContext

Um chart que fornece valores padrão de privilégio mínimo protege cada cluster em que é instalado. Incorporar a segurança aos modelos é melhor do que esperar que as pessoas se lembrem de adicioná-la.

Você pode definir um securityContext no nível do pod para todos os contêineres e outro mais restrito para cada contêiner. A configuração do contêiner substitui a do pod para esse contêiner.

Defina runAsNonRoot como true para que o Kubernetes se recuse a iniciar um contêiner que seria executado como root. Este é o valor padrão de maior impacto que você pode fornecer.

Ative readOnlyRootFilesystem para impedir que o contêiner grave nas próprias camadas da imagem. Monte um emptyDir para qualquer caminho em que o aplicativo realmente precise gravar.

A maioria dos aplicativos não precisa de poderes especiais do núcleo, portanto remova ALL capacidades e adicione novamente apenas aquela rara que uma carga de trabalho realmente exigir.

Defina allowPrivilegeEscalation como false para que um processo nunca possa obter mais privilégios do que tinha ao ser iniciado, mesmo por meio de binários setuid. 🔒

Use fsGroup no securityContext do pod para que os volumes montados pertençam a um grupo ao qual o usuário não root pertença, evitando erros de permissão.

Um contêiner privileged tem acesso quase total ao host e, essencialmente, nunca deve aparecer como valor padrão de um chart. Deixe-o sem definição, o que significa false.

Conecte o securityContext aos values com toYaml para que as pessoas possam ajustá-lo, mas mantenha as configurações reforçadas como seus valores padrão seguros.

Esses valores padrão correspondem ao Padrão de Segurança de Pods restricted do Kubernetes, para que seu chart seja instalado sem problemas até mesmo em namespaces rigorosamente protegidos.

Confirme que o reforço de segurança entrou em vigor examinando a especificação do pod em execução com kubectl get pod -o yaml e verificando os campos de securityContext.

Qual configuração impede um contêiner de iniciar se ele fosse executado como usuário root?

Você reforçou a segurança dos pods com runAsNonRoot, removeu capacidades, usou um sistema de arquivos somente para leitura e impediu a escalação de privilégios. Valores padrão seguros protegem cada instalação. ✅