securityContextを適切につける

[renkonmaster]

概要

コンテナの実行権限を制限し、セキュリティ対策をする

やること

各アプリのPodに以下のsecurityContextをつける

spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 10001 # 必要に応じてアプリごとのUIDを指定
    runAsGroup: 10001  # 必要に応じてアプリごとのGIDを指定
  containers:
    - name: app
      allowPrivilegeEscalation: false

注意点

• 切り戻しなどの都合上、一回で全てのアプリに変更を加えるのではなく、サービス(アプリ)ごとに少しずつ適用していく

• まずは開発環境(*-dev)の方で試して問題がなかったら本番も適用する

• PVCを持っている場合

  • 非rootユーザーだと権限足りないかも
  • 適切に権限を設定してあげる必要がある