В чем разница между привилегиями Docker и Kubernetes?

Разница между привилегиями Docker и Kubernetes

Привилегии в Docker и привилегии в Kubernetes — это концепции, которые работают на разных уровнях и имеют разные цели, хотя обе связаны с безопасностью и контролем доступа в контейнеризированных средах. Основная разница заключается в том, что Docker управляет правами на уровне отдельных контейнеров и хостов, а Kubernetes — на уровне кластера и абстракций более высокого порядка, таких как Pod, Deployment и Service.

Привилегии в Docker (Docker Engine Level)

В Docker привилегии касаются прав контейнера внутри хоста, где работает Docker Engine. Контроль осуществляется через аргументы команды docker run и параметры Dockerfile.

Ключевые механизмы:

• Флаг --privileged: запускает контейнер с практически всеми правами root на хосте (снимает большинство ограничений, например, позволяет монтировать устройства, использовать raw sockets). Это опасно, поскольку контейнер может воздействовать на хост-систему.
• Капирование (Capabilities): Docker позволяет тонко управлять правами через Linux capabilities (например, CAP_NET_ADMIN, CAP_SYS_ADMIN), добавляя или удаляя их с помощью --cap-add и --cap-drop.
• Security Context в Dockerfile: можно задать пользователя (USER), группы, ограничить доступ через параметры безопасности.
• Другие ограничения: --security-opt, --read-only (rootfs только для чтения), --tmpfs, ресурсы (--ulimit).

Пример запуска контейнера с привилегиями в Docker:

docker run --privileged --cap-add=NET_ADMIN --user=1000 myapp:latest

Это запускает контейнер с повышенными правами и дополнительной capability NET_ADMIN, но с пользователем UID 1000 внутри контейнера.

Привилегии в Kubernetes (Cluster Level)

В Kubernetes привилегии связаны с политиками безопасности на уровне кластера, которые применяются к Pod, контейнерам внутри Pod, и другими ресурсами Kubernetes. Это часть Security Context Pod и контейнера.

Ключевые механизмы:

• Pod Security Context: задается в спецификации Pod (spec.securityContext). Включает:

    - `runAsUser`, `runAsGroup`: пользователь и группа для всех контейнеров в Pod.
    - `fsGroup`: группа для файловой системы.
    - `runAsNonRoot`: требование запуска не от root.
    - `allowPrivilegeEscalation`: запрет escalation прав.

• Container Security Context: задается для конкретного контейнера (spec.containers[].securityContext). Включает:

    - `privileged`: аналогично Docker `--privileged`, дает контейнеру права root на хосте.
    - `capabilities`: `add` и `drop` списки capabilities, как в Docker.
    - `readOnlyRootFilesystem`: rootfs только для чтения.
    - `seccompProfile`, `appArmorProfile`: более глубокие профили безопасности.

• Pod Security Standards (PSS): политики на уровне кластера (например, через Pod Security Admission), которые автоматически ограничивают привилегии Pod в зависимости от уровня (privileged, baseline, restricted).

Пример Pod с ограниченными привилегиями в Kubernetes:

apiVersion: v1
kind: Pod
metadata:
  name: secure-pod
spec:
  securityContext:
    runAsUser: 1000
    runAsNonRoot: true
  containers:
  - name: app
    image: myapp:latest
    securityContext:
      privileged: false
      capabilities:
        drop:
          - ALL
        add:
          - NET_BIND_SERVICE
      readOnlyRootFilesystem: true

Этот Pod запускается от пользователя 1000, контейнер не имеет привилегий (privileged: false), удалены все capabilities кроме NET_BIND_SERVICE, и rootfs только для чтения.

Основные различия

Связь между ними

Когда Kubernetes запускает контейнер, он в конечном итоге использует Docker (или другой container runtime) на узлах. Security Context Kubernetes транслируется в параметры Docker (например, privileged, capabilities) при создании контейнера. Таким образом, привилегии в Kubernetes — это более высокоуровневая абстракция, которая затем реализуется через механизмы Docker (или аналогичные) на каждом узле. Kubernetes добавляет кластерный уровень контроля, который Docker сам не предоставляет.

Практический совет: в Kubernetes следует избегать privileged: true и использовать минимальные необходимые capabilities, чтобы снизить риски безопасности. В Docker аналогично: используйте --cap-drop для удаления ненужных прав и избегайте --privileged в производственных средах. Разница в том, что Kubernetes позволяет централизовать эти политики для всего кластера, что критично для корпоративных и облачных сред.