2.12 · Parcours 2 — Développer et déployer des applications (CKAD)
SecurityContext et capabilities
Lab Kubernetes · questionnaire de validation · gratuit, dans le navigateur
Par défaut, beaucoup d'images de conteneurs tournent en root, avec des privilèges dont l'application n'a aucun besoin. Si une faille permet à un attaquant de prendre la main sur le conteneur, ces privilèges deviennent les siens. Le securityContext permet de retirer, ligne par ligne, tout ce qui n'est pas nécessaire. C'est l'une des mesures de sécurité les plus efficaces, et elle ne coûte presque rien.
Ce que vous saurez à la fin : faire tourner un conteneur sous un utilisateur non root, rendre son système de fichiers en lecture seule, retirer ses capabilities, et diagnostiquer une image qui refuse de démarrer à cause de ces règles.
Au programme de ce lab
- Votre mission
- Pas à pas
- Deux niveaux de réglage
- Ne pas tourner en root
- Empêcher l'élévation de privilèges
- Les capabilities : découper les pouvoirs de root
- Un système de fichiers en lecture seule
- seccomp : filtrer les appels système
- Les Pod Security Standards
Ce que KubeNow vérifie
- durci tourne avec l'UID 1000 et le groupe 3000
- durci refuse de tourner en root (runAsNonRoot)
- durci : aucune élévation de privilèges, aucune capability
- durci : système de fichiers en lecture seule
- durci : profil seccomp RuntimeDefault
- web démarre avec une image non root, sans retirer runAsNonRoot