Kubernetes SecurityContext(s)

Support HackTricks

PodSecurityContext

From the docs:

рдЬрдм рдЖрдк рдПрдХ Pod рдХреЗ рд╕реБрд░рдХреНрд╖рд╛ рд╕рдВрджрд░реНрдн рдХреЛ рдирд┐рд░реНрджрд┐рд╖реНрдЯ рдХрд░рддреЗ рд╣реИрдВ, рддреЛ рдЖрдк рдХрдИ рд╡рд┐рд╢реЗрд╖рддрд╛рдУрдВ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░ рд╕рдХрддреЗ рд╣реИрдВред рдПрдХ рд░рдХреНрд╖рд╛рддреНрдордХ рд╕реБрд░рдХреНрд╖рд╛ рджреГрд╖реНрдЯрд┐рдХреЛрдг рд╕реЗ, рдЖрдкрдХреЛ рд╡рд┐рдЪрд╛рд░ рдХрд░рдирд╛ рдЪрд╛рд╣рд┐рдП:

  • runASNonRoot рдХреЛ True рд░рдЦрдирд╛

  • runAsUser рдХреЛ рдХреЙрдиреНрдлрд╝рд┐рдЧрд░ рдХрд░рдирд╛

  • рдпрджрд┐ рд╕рдВрднрд╡ рд╣реЛ, рддреЛ seLinuxOptions рдФрд░ seccompProfile рдХреЛ рдирд┐рд░реНрджрд┐рд╖реНрдЯ рдХрд░рдХреЗ permissions рдХреЛ рд╕реАрдорд┐рдд рдХрд░рдиреЗ рдкрд░ рд╡рд┐рдЪрд╛рд░ рдХрд░реЗрдВ

  • runAsGroup рдФрд░ supplementaryGroups рдХреЗ рдорд╛рдзреНрдпрдо рд╕реЗ privilege group рдкрд╣реБрдВрдЪ рди рджреЗрдВ

SecurityContext

From the docs:

рдпрд╣ рд╕рдВрджрд░реНрдн рдХрдВрдЯреЗрдирд░реЛрдВ рдХреА рдкрд░рд┐рднрд╛рд╖рд╛рдУрдВ рдХреЗ рдЕрдВрджрд░ рд╕реЗрдЯ рдХрд┐рдпрд╛ рдЧрдпрд╛ рд╣реИред рдПрдХ рд░рдХреНрд╖рд╛рддреНрдордХ рд╕реБрд░рдХреНрд╖рд╛ рджреГрд╖реНрдЯрд┐рдХреЛрдг рд╕реЗ, рдЖрдкрдХреЛ рд╡рд┐рдЪрд╛рд░ рдХрд░рдирд╛ рдЪрд╛рд╣рд┐рдП:

  • allowPrivilegeEscalation рдХреЛ False рдкрд░ рд╕реЗрдЯ рдХрд░реЗрдВ

  • рд╕рдВрд╡реЗрджрдирд╢реАрд▓ capabilities рди рдЬреЛрдбрд╝реЗрдВ (рдФрд░ рдЬрд┐рдирдХреА рдЖрдкрдХреЛ рдЖрд╡рд╢реНрдпрдХрддрд╛ рдирд╣реАрдВ рд╣реИ рдЙрдиреНрд╣реЗрдВ рд╣рдЯрд╛ рджреЗрдВ)

  • privileged рдХреЛ False рдкрд░ рд╕реЗрдЯ рдХрд░реЗрдВ

  • рдпрджрд┐ рд╕рдВрднрд╡ рд╣реЛ, рддреЛ readOnlyFilesystem рдХреЛ True рдкрд░ рд╕реЗрдЯ рдХрд░реЗрдВ

  • runAsNonRoot рдХреЛ True рдкрд░ рд╕реЗрдЯ рдХрд░реЗрдВ рдФрд░ рдПрдХ runAsUser рд╕реЗрдЯ рдХрд░реЗрдВ

  • рдпрджрд┐ рд╕рдВрднрд╡ рд╣реЛ, рддреЛ seLinuxOptions рдФрд░ seccompProfile рдХреЛ рдирд┐рд░реНрджрд┐рд╖реНрдЯ рдХрд░рдХреЗ permissions рдХреЛ рд╕реАрдорд┐рдд рдХрд░рдиреЗ рдкрд░ рд╡рд┐рдЪрд╛рд░ рдХрд░реЗрдВ

  • runAsGroup рдХреЗ рдорд╛рдзреНрдпрдо рд╕реЗ privilege group рдкрд╣реБрдВрдЪ рди рджреЗрдВред

рдзреНрдпрд╛рди рджреЗрдВ рдХрд┐ SecurityContext рдФрд░ PodSecurityContext рдореЗрдВ рд╕реЗрдЯ рдХреА рдЧрдИ рд╡рд┐рд╢реЗрд╖рддрд╛рдУрдВ рдореЗрдВ, SecurityContext рдореЗрдВ рдирд┐рд░реНрджрд┐рд╖реНрдЯ рдорд╛рди рдкреНрд░рд╛рдердорд┐рдХрддрд╛ рд▓реЗрддрд╛ рд╣реИред

References

Support HackTricks

Last updated