CCE容器运行时的安全配置建议
容器技术通过利用Linux的Namespace和Cgroup技术，实现了容器与宿主机之间的资源隔离与限制。Namespace提供了一种内核级别的环境隔离功能，它能够限制进程的视图，使其只能访问特定的资源集合，如文件系统、网络、进程和用户等。而Cgroup作为Linux内核的资源管理机制，能够限制进程对CPU、内存、磁盘和网络等资源的使用，防止单一进程过度占用资源，影响系统的整体性能。
尽管Namespace和Cgroup从资源层面上实现了容器与宿主机的环境独立性，使得宿主机的资源对容器不可见，但这种隔离并没有实现真正意义上的安全隔离。由于容器共享宿主机的内核，一旦容器内部发生恶意行为或利用内核漏洞，就可能突破资源隔离，导致容器逃逸，进而威胁到宿主机及其他容器的安全。
为了提高运行时安全性，可以通过多种机制对容器内部的恶意活动进行检测和预防，这些机制可以与Kubernetes集成，包括但不限于Capabilities、Seccomp、AppArmor和SELinux等。这些安全措施能够提供主动防护，增强容器的安全性，降低潜在的安全风险。
Capabilities
Capabilities提供了一种特殊的权限机制，它允许进程在不拥有完整root权限的情况下执行特定的系统操作。这种机制将root权限细分为多个独立的小权限（称为Capabilities），使得进程仅获取其完成任务所需的最小权限集。这种做法不仅提高了系统的安全性，还减少了潜在的安全风险。
在容器化环境中，可以通过容器的securityContext配置来管理容器的Capabilities。以下是一个配置示例：
...
securityContext:
capabilities:
add:
- NET_BIND_SERVICE
drop:
-all
通过这种方式，您可以确保容器仅拥有执行其功能所需的权限，而不会因拥有过多权限而带来安全隐患。有关更多关于如何为容器设置Capabilities的信息，请参见为容器设置Capabilities。
Seccomp
Seccomp是一种系统调用过滤机制，它能够限制进程能够使用的系统调用，从而减少潜在的攻击面。Linux操作系统提供了数百个系统调用，但并非所有这些调用对于容器化应用都是必需的。通过限制容器可以执行的系统调用，您可以显著降低应用程序受到攻击的风险。
Seccomp的核心原理是拦截所有系统调用，并仅允许那些被明确列入白名单的调用通过。容器运行时如Docker和containerd都提供了默认的Seccomp配置，这些配置适用于大多数通用工作负载。
- 对于Kubernetes 1.19之前的版本，可以使用以下注解来指定Seccomp配置：
annotations: seccomp.security.alpha.kubernetes.io/pod: "runtime/default"
- 对于Kubernetes 1.19及之后版本，可以使用securityContext来配置Seccomp策略：
securityContext: seccompProfile: type: RuntimeDefault
这些配置将应用默认的Seccomp策略，该策略允许容器执行一组受限的安全系统调用。有关Seccomp的更多配置选项和高级用法，请参见使用Seccomp限制容器的系统调用，了解如何使用Seccomp限制容器的系统调用，以进一步增强容器的安全性。
AppArmor和SELinux
AppArmor和SELinux是两种强制访问控制系统（MAC），它们提供了一种比传统的Discretionary Access Control（DAC）更为严格的方法来限制和管理进程的权限。这些系统在概念上与Seccomp类似，但它们专注于提供更为细致的访问控制，包括对文件系统路径、网络端口和其他资源的访问。
AppArmor和SELinux允许管理员定义策略，这些策略可以精确地控制应用程序可以访问的资源。例如，它们可以限制对特定文件或目录的读写权限，或者控制对网络端口的访问。
- 对于AppArmor，使用详情请参见使用AppArmor限制容器对资源的访问。
- 对于SELinux，在securityContext中设置seLinuxOptions：
... securityContext: seLinuxOptions: level: "s0:c123,c456"详情请参见为Container赋予SELinux标签。
