使用 root 用户执行Docker、K8s命令？No!

太过爱你忘了你带给我的痛 2023-01-22 08:51 100阅读 0赞

![9629c860f1fb4b3db1d2b57d12e25fb2.gif][]

随意使用 root 和特权可能会带来不必要的风险。本文展示了特权与 root 运行方式的不同之处以及特权的实际意义。

> 作者：Bryant Hagadorn[  
> ][Link 1]

很多熟悉 Unix 系统的人（例如 macOS、Linux）都习惯于通过使用 `sudo` 随意提升我们的特权给 `root` 用户。在调试开发工具或尝试编辑受保护目录中的文件时，经常会发生这种情况，许多人在第一次尝试之后，执行命令不成功，都会默认使用 `sudo`。

![cf14484fa415a4f567edee4a8a5fc475.png][]

了解 Docker 安全性的基础是了解实际的容器

Docker 提供了一个类似 `--privileged` flag，实际上这与我们随意使用的 sudo 有很大不同，它可能会使应用程序面临不必要的风险。**本文将展示这与 root 运行方式有何不同（以及如何避免以 root 用户身份运行），并介绍特权（privileged）的实际含义。**

**作为 root 运行**

Docker 允许其在主机操作系统上隔离进程、功能和文件系统，并且实际上，大多数容器默认以 root 身份运行。为了示例，本文将使用 DockerHub 上的三个最受欢迎镜像。

**Postgres：**

$ docker run -it postgres 
    ＃whoami 
    root 
    ＃id -u 
    0

**Couchbase：**

$ docker run -it couchbase sh 
    ＃whoami 
    root 
    ＃id -u 
    0

**Alpine：**

$ docker run -it alpine sh 
    ＃whoami 
    root 
    ＃id -u 
    0

我们可以看到，默认情况下，大多数镜像都以 root 用户身份运行。通常这可以简化调试过程，尤其是在我们要 exec 到容器时。尽管 root 用户的 Linux 功能非常有限，但最好还是避免以 root 用户身份运行。

**避免以 root 身份运行**

尽管在容器内部以 root 身份运行是非常正常的事，但是如果我们想要强化容器，仍然需要避免这种情况。**首先，违反了最小特权原则，其次，更严格地说，容器将成为运行 Docker 命令的同一用户命名空间的一部分**，并且如果容器能够转义，它将可以访问 volume、socket 等资源。

有两种避免以 root 用户身份运行的方法。

**通过调整 Dockerfile 以使用特定用户：**

// Dockerfile 
    
    FROM microsoft/windowsservercore
    # Create Windows user in the container
    RUN net user /add patrick
    # Set it for subsequent commands
    USER patrick

**在运行时重写 User ID：**

$ docker run -it --user 4000 postgres sh
    # whoami
    whoami: cannot find name for user ID 4000
    # id -u
    4000

**关于特权**

`--privileged` flag 将我们之前看到的用户 ID 直接映射到主机的用户 ID，并使其不受限制地访问其选择的任何系统调用。即使 `root` 在容器内部，在正常操作中，Docker 也会限制容器的 Linux 功能，例如限制 CAP\_AUDIT\_WRITE，它允许覆盖内核的审计日志，这是容器化工作负载不太需要的功能。

**实际上，特权应该只在我们真正需要的特定设置中使用，它可以使容器访问主机（作为 root）几乎可以执行所有操作。**从本质上讲，这是一个通行证，可以逃避容器包含的文件系统、进程、套接字和其他包含的项目。它有特定的用例，例如 Docker-in-Docker，其他 CI/CD 工具要求（从 Docker 容器内部需要 Docker 守护程序）以及需要极端网络的地方。

下面看一个使用 Ubuntu 镜像的示例（在 VM 内测试，这样就不会破坏任何东西）：

**没有特权：**

# whoami
    root # Notice here, we are still root!
    # id -u
    0
    # hostname
    382f1c400bd
    # sysctl kernel.hostname=Attacker
    sysctl: setting key "kernel.hostname": Read-only file system  # Yet we can't do this

**有特权：**

$ docker run -it --privileged ubuntu sh
    # whoami
    root. # Root again
    # id -u
    0
    # hostname
    86c62e9bba5e
    # sysctl kernel.hostname=Attacker
    kernel.hostname = Attacker # Except now we are privileged
    # hostname
    Attacker

**Kubernetes 通过安全上下文提供相同的功能：**

apiVersion: v1
    kind: Pod
    metadata:
      name: nginx
    spec:
      containers:
      - name: nginx
        image: nginx
        securityContext:
          privileged: true

此外，Kubernetes 有一个称为 PodSecurityPolicy 的强制机制，它是一个准入控制器（Kubernetes 在允许容器进入集群之前会对其进行检查），这里强烈建议不允许使用特权 Pod：

apiVersion: policy/v1beta1
    kind: PodSecurityPolicy
    metadata:
      name: example
    spec:
      privileged: false  # Don't allow privileged pods!

**总结**

到此为止，我们了解了一些有关 `root` 和 `--privileged` flag 的信息，以及它们与“主机”操作系统的关系。无论我们是否想限制容器的安全性或调试问题，都需要确保应用程序安全。**防御安全性需要深度防御（像洋葱一层一层的保护）并减少攻击面，通过不以 root 身份运行，不以特权身份运行以及添加 SecurityContext 和 PodSecurityPolicies 是实现更高容器安全性的四个主要方面。**

原文链接：https://itnext.io/docker-and-kubernetes-root-vs-privileged-9d2a37453dec

END

**公众号后台回复** \[ 加群 \]，加入linux+docker+k8s+devops技术交流群，一起进步、一起成长！

精彩文章推荐

[安装kubernetes集群-灵活安装k8s各个版本高可用集群][kubernetes_-_k8s]

[Prometheus+Grafana+Alertmanager搭建全方位的监控告警系统-超详细文档][Prometheus_Grafana_Alertmanager_-]

[基于Jenkins和k8s构建企业级DevOps容器云平台][Jenkins_k8s_DevOps]

[k8s+jenkins+SonarQube+harbor构建DevOps自动化容器云平台][k8s_jenkins_SonarQube_harbor_DevOps]

[k8s如何学习？搞清k8s关键技术点][k8s_k8s][  
][Link 2]

[Kubernetes将弃用Docker，不必恐慌][Kubernetes_Docker][  
][Link 3]

[5个维度对 Kubernetes 集群优化][5_ Kubernetes]

[K8s自动扩缩容工具KEDA发布2.0版本，全面升级应用扩展能力][K8s_KEDA_2.0]

[应该监控哪些Kubernetes健康指标？][Kubernetes][  
][k8s_k8s]

[如何在 Kubernetes 上扩展微服务][Kubernetes 1]

[容器运行时Containerd基础][Containerd]

[K8S 集群中的认证、授权与kubeconfig][K8S _kubeconfig]

[Kubernetes 1.21正式发布 | 主要变化解读][Kubernetes 1.21_ _]

[k8s控制器Statefulset详细介绍：资源清单编写技巧][k8s_Statefulset]

[Pod高级用法：如何管理pod生命周期][Pod_pod]

[使用k3s部署轻量Kubernetes集群快速教程  
][k3s_Kubernetes_]

[使用 Loki 收集 nginx 日志][Loki _ nginx]

![df27c44aad4c1d2ecf0d9e127ffc118a.png][]

公众号后台回复 \[ 加群 \]，加入linux+docker+k8s+devops技术交流群，一起进步、一起成长！

## 技术交流 ##

为了大家更快速的学习知识，掌握技术，随时沟通交流问题，特组建了技术交流群，大家在群里可以分享自己的技术栈，抛出日常问题，群里会有很多大佬及时解答的，这样我们就会结识很多志同道合的人，长按或者扫描下图二维码可加我微信，备注运维或者k8s或者devops即可进群，让我们共同的努力，向着美好的未来出发吧~~，**想要****免费获取****linux、k8s、DevOps、Openstack、Openshift、运维、开发、测试、架构师、Python、Go、面试文档、容器、岗位内推等资料也可进群获取****哈~~**

![5490afdf468167b436e9fe65860f60f2.png][]

**微信：** luckylucky421302

[9629c860f1fb4b3db1d2b57d12e25fb2.gif]: /images/20221020/719760debad34469a24634bd7e3772c8.png
[Link 1]: https://mp.weixin.qq.com/s?__biz=Mzg3ODAzMTMyNQ%3D%3D&idx=1&mid=2247492327&scene=21&sn=daced13c5f30ed77accd2ef34a428d0a#wechat_redirect
[cf14484fa415a4f567edee4a8a5fc475.png]: /images/20221020/a656e553e6654637be6457a137ede834.png
[kubernetes_-_k8s]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb6384b8cc140dae0e6efba75100e29549cc440a010a5c7976bdd313e9c6139569b197e20a8f&idx=1&mid=2247486381&scene=21&sn=f07ae730cdc3ca2442462e0c7f2caed1#wechat_redirect
[Prometheus_Grafana_Alertmanager_-]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb638b08cc14021e5e025f2f0b89d18ec5ef19f9dec4429a56f356e8b596d01095e313dab3e3&idx=1&mid=2247484445&scene=21&sn=bf8928e7aae815b8e7f9ac56a67289ce#wechat_redirect
[Jenkins_k8s_DevOps]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639ad4cc1413c29af69c3c0c3e48d17ef9a2cf5948696d70fb8fad23eecabc5d75b5d23657&idx=1&mid=2247488961&scene=21&sn=a4ea6111d7b613f2948032a3a16a1ac9#wechat_redirect
[k8s_jenkins_SonarQube_harbor_DevOps]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639c31cc1415277a4203065c3aaa468949e48dc8c75d65026c59584b0517cef18e26273373&idx=1&mid=2247488292&scene=21&sn=d81030fed2368e707ee984929b2ee6a5#wechat_redirect
[k8s_k8s]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639ba0cc1412b6c2e6d7c057dceaf125787fe4a0a0e12caf94b7bb3796296dbb3a278c36fe&idx=1&mid=2247488693&scene=21&sn=5ad25ab1809828acfa7e75dcfb824542#wechat_redirect
[Link 2]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639f9bcc14168dbffbc995646942ed75995d1181296af73df1cd13b6d3f0052d42934648cc&idx=1&mid=2247487630&scene=21&sn=d4cbb1afb6d2d059c0e9d319dd47fdf0#wechat_redirect
[Kubernetes_Docker]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639f68cc14167e344cea74d031c8f466e51cb00f19d112d07aeb73fa062a7be5b473d055d7&idx=1&mid=2247487613&scene=21&sn=61308d2c58562ad51ad8c1327a2353e1#wechat_redirect
[Link 3]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639f7acc14166ca2176a440bbcde9d563c78df76bff8a5a8e0cff467f23dfc9415b2c5c4ef&idx=1&mid=2247487599&scene=21&sn=8f107a8d869238058e50e8cd73175c5a#wechat_redirect
[5_ Kubernetes]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb6383aecc140ab8050df002d52f6063e85ad2777f4ec0941c9d40ea49c50c11f23542f43dfc&idx=1&mid=2247486651&scene=21&sn=2fe1be9d4a335077757c46a36cb1aea2#wechat_redirect
[K8s_KEDA_2.0]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639d51cc141447eb0ded990df4abe27860fc66b782875f3e656bcdfe5a7b00b2bfb76b9d15&idx=1&mid=2247488068&scene=21&sn=f24c1e2561160fe5feb9a17c6bcc8d1c#wechat_redirect
[Kubernetes]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639dc8cc1414de4ad7398463fb0a5bbb414e1444a0f4b6d3bb8e922697a1d7b3db6130b650&idx=1&mid=2247488221&scene=21&sn=b7cc4fe1347303ba87f226f24b5985ab#wechat_redirect
[Kubernetes 1]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639b80cc141296252512e6456dbdcd4d19629630bff9ae07a0aada93029e87dc359d754f46&idx=1&mid=2247488661&scene=21&sn=2e55fb79ddef40022ff4beb642361c95#wechat_redirect
[Containerd]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639b5ecc141248b6378ace908c840a942257e4790b2b91254ca519ff1cfb13e2924a41d8db&idx=1&mid=2247488587&scene=21&sn=e111dff943411a657b5e9106e73f9dfe#wechat_redirect
[K8S _kubeconfig]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639bfccc1412ea3cefc4a38f79a735081ec861baeb9b20234a36f893a9517815018b3617d6&idx=1&mid=2247488745&scene=21&sn=d17e44969fe9859282a0cfbd25214bde#wechat_redirect
[Kubernetes 1.21_ _]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639ad9cc1413cf9c9788f98afc87b2b9c50f8670780653667a29590b95fb930d8a298fedd1&idx=1&mid=2247488972&scene=21&sn=88bb2915bb615507cb3c30dcd3fed1db#wechat_redirect
[k8s_Statefulset]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639a24cc1413324eef71861544aa3d322b669d37752e078c23714beeaef664d54f2a47e015&idx=2&mid=2247488817&scene=21&sn=5baea68480d87d6de2fe8e70b8338aff#wechat_redirect
[Pod_pod]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639937cc1410214c9ccf963453db8955df77bbe576710b6cd7482f354bb735b0f88465d4d4&idx=1&mid=2247489058&scene=21&sn=d2f11be65a794bd58ebb0a9e8209e509#wechat_redirect
[k3s_Kubernetes_]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb639926cc1410307d0f8a42cdea7dfef6ac48efe0f107b2c9ebb2871c23a41b22bacd898db7&idx=1&mid=2247489075&scene=21&sn=30331a13bc8fc3b399716989098266a5#wechat_redirect
[Loki _ nginx]: http://mp.weixin.qq.com/s?__biz=MzU0NjEwMTg4Mg%3D%3D&chksm=fb63994bcc14105d87f6e3c2835ba0bbb588ec12b08410f6862f2a9cdb42225e795385f7c058&idx=1&mid=2247489118&scene=21&sn=557e0c46e2d9d069a3747435f98ac51c#wechat_redirect
[df27c44aad4c1d2ecf0d9e127ffc118a.png]: /images/20221020/95aa623816794fd5a2d351be35ea21af.png
[5490afdf468167b436e9fe65860f60f2.png]: /images/20221020/6bd636491a8b490fa481ea170a3663ec.png