12-资源注解annotations和安全行下文securityContext(了解即可)

一、资源注解annotations

资源注解,annotations就是对资源进行注释;

应用场景:

给资源(例如pod资源)提供配置信息,类似于帮助信息;

早期使用比较多,很多开源组件一般都会使用;

1,编辑一个pod资源清单加资源注解案例

root@k8s231 annottations\]# cat pod.yaml apiVersion: v1 kind: Pod metadata: name: pod-01 labels: k8s: xinjizhiwa kubernetes: k8s #资源注解(也是键值对写法) annotations: help: is a playbook,please user know it a: b b: c c: d spec: containers: - name: c1 image: centos:7 command: - "tail" - "-f" - "/etc/hosts"

2,创建pod资源

root@k8s231 annottations\]# kubectl apply -f pod.yaml

3,查看资源注解

root@k8s231 annottations\]# kubectl describe pods pod-01 Name: pod-01 Namespace: default Priority: 0 Node: k8s233/10.0.0.233 Start Time: Thu, 15 Feb 2024 19:14:00 +0800 Labels: k8s=xinjizhiwa kubernetes=k8s #资源注解位置; Annotations: a: b b: c c: d help: is a playbook,please user know it ..................

二、安全上下文securitycontext

当我们运行一个pod的容器的时候,存在一个风险,就是当有人登录到容器当中时,使用root用户登录,并修改文件等危险操作,会导致业务出现严重的安全问题,因此,k8s提供了安全上下文securitycontext,用来控制有人登录到容器当中进行的操作;

1,编辑pod资源清单配置安全上下文

root@k8s231 securitycontext\]# cat pod.yaml apiVersion: v1 kind: Pod metadata: name: pod-centos7 spec: containers: - name: c1 image: centos:7 command: \["tail","-f","/etc/hosts"

#配置pod的容器中安全相关属性

securityContext:

#配置容器为特权容器,若配置了特权容器,可能对capabilities测试有影响;

#privileged: true

#自定义linux内核特性

capabilities:

#添加所有的linux内核功能

add:

  • ALL

#移除指定linux内核特性

drop:

#代表禁用网络管理的配置

  • NET_ADMIN

#代表禁用uid和gid,表示你无法使用chown命令;

  • CHOWN

#禁用chroot命令

  • SYS_CHROOT

#如果容器的进程以root身份运行,则禁止容器启动;

runAsNonRoot: true

#指定运行容器的用户uid,注意该用户的uid必须事先存在于镜像中;

runAsUser: 666

2,创建pod

root@k8s231 securitycontext\]# kubectl apply -f pod.yaml

3,进入容器查看是否配置成功

root@k8s231 securitycontext\]# kubectl exec -it pod-centos7 -- sh sh-4.2$ whoami whoami: cannot find name for user ID 666 sh-4.2$ cd /root sh-4.2$ ls -l total 4 -rw------- 1 root root 3416 Nov 13 2020 anaconda-ks.cfg sh-4.2$ touch 1.txt touch: cannot touch '1.txt': Permission denied

可以看见,没有这个666的用户,什么都干不了;

至此,安全上下文于资源注解完毕;

相关推荐
wfsec13 小时前
区块链安全评估:守护数字世界的“安全密码”
安全·区块链
jianghx102416 小时前
Docker部署ES,开启安全认证并且设置账号密码(已运行中)
安全·elasticsearch·docker·es账号密码设置
w236173460117 小时前
Linux 服务器安全巡检与加固:从命令到实操(CentOS/Ubuntu 通用)
linux·服务器·安全·安全加固·安全巡检
星哥说事18 小时前
网络安全设备:入侵检测系统(IDS)、入侵防御系统(IPS)的配置与使用
网络·安全·web安全
李白你好18 小时前
一个Burp Suite插件,用于自动化检测图片上传功能中的XSS漏洞
安全·自动化·xss
橘子海全栈攻城狮1 天前
【源码+文档+调试讲解】基于SpringBoot + Vue的知识产权管理系统 041
java·vue.js·人工智能·spring boot·后端·安全·spring
sln_15501 天前
2025强网杯tradRE简单wp
安全·逆向·ctf
楠木s1 天前
ctfshow pwn44
linux·服务器·网络·安全·网络攻击模型·二进制
wanhengidc1 天前
服务器的安全性如何?
运维·服务器·安全·游戏·智能手机
newxtc1 天前
【猿辅导-注册安全分析报告-无验证方式导致安全隐患】
开发语言·selenium·安全·yolo·安全爆破