Kubernetes iş yükü root olarak çalışıyor (ARCH10023)

Anahtar config.k8s.runs-as-root · Önem warning · Kategori security · CWE CWE-250

Root isteyen ya da root’a açıkça izin veren bir manifest, her konteyner kaçışını ve her yazılabilir sunucu yolunu daha değerli kılar. Pod ve konteyner securityContext’i birlikte okunur.

Hatalı

apiVersion: apps/v1
kind: Deployment
metadata:
  name: worker
spec:
  selector:
    matchLabels:
      app: worker
  template:
    metadata:
      labels:
        app: worker
    spec:
      securityContext:
        runAsUser: 0
      containers:
        - name: worker
          image: example/worker:1.9.0

Doğru

apiVersion: apps/v1
kind: Deployment
metadata:
  name: worker
spec:
  selector:
    matchLabels:
      app: worker
  template:
    metadata:
      labels:
        app: worker
    spec:
      securityContext:
        runAsUser: 10001
        runAsNonRoot: true
      containers:
        - name: worker
          image: example/worker:1.9.0

Düzeltme

Root olmayan bir kullanıcıyla çalıştırın: runAsUser 0’dan büyük ve runAsNonRoot: true.

İşaretlenmeyenler

• Kullanıcı hakkında bir şey söylemeyen manifest: konteyner imajın kullanıcısıyla çalışır ve bu manifestten görünmez (imaj için ARCH10001’e bakın).