Agregar o eliminar las capacidades de Linux en el SecurityContext de Kubernetes

Kubernetes es una plataforma de orquestación de contenedores que proporciona un entorno para desplegar, escalar y administrar aplicaciones en contenedores. Los contenedores están aislados de los demás procesos del sistema, lo que proporciona una capa adicional de seguridad. En Kubernetes, el SecurityContext se utiliza para definir las políticas de seguridad de un pod. El SecurityContext establece los permisos, la configuración de SELinux, las UID y GID, y las capacidades de Linux. Las capacidades de Linux son permisos especiales que se pueden conceder a los procesos.

En este artículo, veremos cómo agregar o eliminar las capacidades de Linux en el SecurityContext de Kubernetes. Aprenderemos cómo utilizar los campos de seguridad del pod y cómo modificar las capacidades de Linux utilizando la definición del pod.

Modificar las capacidades de Linux en un pod de Kubernetes

Definiendo el SecurityContext para un pod

Para definir el SecurityContext de un pod, utilizamos el campo "securityContext" en la especificación del pod. Dentro del campo "securityContext", podemos definir varios campos de seguridad, como "runAsUser", "runAsGroup" y "capabilities".

Aquí hay un ejemplo de cómo definir el SecurityContext de un pod con las capacidades "CAP_NET_RAW" y "CAP_NET_ADMIN":


apiVersion: v1
kind: Pod
metadata:
name: mi-pod
spec:
containers:
- name: mi-contenedor
image: nginx
securityContext:
capabilities:
add: ["NET_RAW", "NET_ADMIN"]


En este ejemplo, hemos definido el SecurityContext para el pod "mi-pod" con las capacidades "CAP_NET_RAW" y "CAP_NET_ADMIN". Hemos utilizado el campo "capabilities" para agregar estas capacidades. También es posible eliminar las capacidades utilizando el campo "drop" en lugar de "add".

Eliminando las capacidades de Linux en un pod existente

Si deseamos eliminar las capacidades de Linux en un pod existente, podemos modificar la definición de pod existente y actualizarla en Kubernetes. Aquí está el formato de la definición del pod que puede utilizarse para eliminar una capacidad de Linux existente:


apiVersion: v1
kind: Pod
metadata:
name: mi-pod
spec:
containers:
- name: mi-contenedor
image: nginx
securityContext:
capabilities:
drop: ["NET_RAW"]


En este ejemplo, hemos eliminado la capacidad "CAP_NET_RAW" del conjunto de capacidades de Linux existente en el pod "mi-pod". Hemos utilizado el campo "drop" para eliminar esta capacidad.

Agregar las capacidades de Linux a un pod existente

Si deseamos agregar las capacidades de Linux a un pod existente, podemos modificar la definición de pod existente y actualizarla en Kubernetes. Aquí está el formato de la definición del pod que puede utilizarse para agregar una capacidad de Linux a un pod existente:


apiVersion: v1
kind: Pod
metadata:
name: mi-pod
spec:
containers:
- name: mi-contenedor
image: nginx
securityContext:
capabilities:
add: ["NET_ADMIN"]


En este ejemplo, hemos agregado la capacidad "CAP_NET_ADMIN" al conjunto de capacidades de Linux existente en el pod "mi-pod". Hemos utilizado el campo "add" para agregar esta capacidad.

Ejemplos de codigos o comandos

Para agregar la capacidad "CAP_NET_ADMIN" al conjunto de capacidades de Linux existente en un pod llamado "mi-pod", utilice el siguiente comando:


kubectl patch pod mi-pod --type=json -p='[{"op": "add", "path": "/spec/containers/0/securityContext/capabilities/add", "value": ["NET_ADMIN"]}]'


Para eliminar la capacidad "CAP_NET_RAW" del conjunto de capacidades de Linux existente en un pod llamado "mi-pod", utilice el siguiente comando:


kubectl patch pod mi-pod --type=json -p='[{"op": "remove", "path": "/spec/containers/0/securityContext/capabilities/drop", "value": ["NET_RAW"]}]'


Conclusión

En este artículo, hemos aprendido cómo agregar o eliminar las capacidades de Linux en el SecurityContext de Kubernetes. Hemos visto cómo utilizar los campos de seguridad del pod y cómo modificar las capacidades de Linux utilizando la definición del pod. Esperamos que este artículo te haya ayudado a entender mejor cómo trabajar con los campos de seguridad del pod en Kubernetes.

Preguntas frecuentes

¿Qué son las capacidades de Linux?

Las capacidades de Linux son permisos especiales que se pueden conceder a los procesos. Estos permisos permiten a los procesos realizar acciones que normalmente sólo podrían ser realizadas por el superusuario.

¿Cómo puedo agregar una capacidad de Linux a un pod de Kubernetes?

Para agregar una capacidad de Linux a un pod de Kubernetes, utilice el campo "add" en la definición del pod para añadir la capacidad específica que desee.

¿Cómo puedo eliminar una capacidad de Linux de un pod existente en Kubernetes?

Para eliminar una capacidad de Linux de un pod existente en Kubernetes, modifique la definición del pod y actualícela en Kubernetes utilizando el campo "drop" en la definición del pod.

Kubectl Set Image Command

Kubectl get all resources en un namespace: Todo lo que debes saber

¿Cuál es la diferencia entre kubectl create y kubectl apply?

Habilitar la Completación de Bash de Kubectl

Cómo solucionar el error de OOMkilled en Kubernetes

Cómo cambiar el espacio de nombres predeterminado en Kubectl

Cómo solucionar el estado de terminación atascado en Kubernetes

Kubectl Delete PVC

Actualización de secretos en Kubernetes con kubectl