Привет всем. Подскажите, я правильно понимаю, что если я хочу

Question

Привет всем. Подскажите, я правильно понимаю, что если я хочу

в кубернетесе выполнять контейнер от обычного пользователя через RunAsUser и при этом чтобы основной процесс в контейнере мог биндить порты ниже 1024 (иметь NET_BIND_SERVICE или NET_ADMIN capabilities) то так не получится?

#devops #programming #russian

0

20.04.2021

8 ответов

7 просмотров

Semyon Gerasimov Автор вопроса

Vasiliy Romaneev
выдай нужные привелегии в манифесте и всё будет хо...

Скажите, пожалуйста, что именно вы имеете ввиду под "привилегии в манифесте". Насколько я читаю доку (https://kubernetes.io/docs/tasks/configure-pod-container/security-context/#set-the-security-context-for-a-pod) в манифесте можно указать securityContext в котором перечислить: - Linux Capabilities - SELinux labels - Seccomp Profile - флаг allowPrivilegeEscalation Что из этого вы имеете ввиду под "привилегиями"? Или что-то совсем другое?

0

21.04.2021

Lol ava

Semyon Gerasimov
Скажите, пожалуйста, что именно вы имеете ввиду по...

Я не разбираюсь в этом, но используя перевод я бы выбрал privilegeescalation

0

21.04.2021

Vasiliy Angapov

Semyon Gerasimov
Скажите, пожалуйста, что именно вы имеете ввиду по...

apiVersion: v1 kind: Pod metadata: name: security-context-demo-4 spec: containers: - name: sec-ctx-4 securityContext: capabilities: add: ["NET_BIND_SERVICE"]

0

21.04.2021

Semyon Gerasimov Автор вопроса

Vasiliy Angapov
apiVersion: v1 kind: Pod metadata: name: securit...

Спасибо за ответ. Работает так, но не работает, если указывать еще и RunAsUser. Надо не из под рута запускать контейнер.

0

21.04.2021

Andrey Kartashov

помимо решения проблемы с портом <1024, можно ещё попробовать использовать порт >1024

0

21.04.2021

Vasiliy Romaneev