Kubernetes вышла заметка "User Namespaces: Now Supports Running Stateful Pods in Alpha!". Это прям обязательно к прочтению, если вы не понимаете зачем и для чего нужен user namespace в Kubernetes!Краткое резюме:
- Новые изменения вступают в силу с
1.28
- User namespace теперь можно применять не только к Stateless,но и к Stateful микросервисам (по сути теперь Pods может быть с любым типом volume)- Фич ветку
UserNamespacesStatelessPodsSupport переименовали в UserNamespacesSupport (по прежнему в alpha и не включено по умолчанию)- Для включения все также в спецификации нужно указывать
hostUsers: false
- У разработчиков есть мысли включить эту опцию в Pod Security Standards (PSS) и Pod Security Admission (при этом нивелировать часть других параметров, если включен этот)Для работы этого потребуется:
- Ядро
Linux 6.3 и старше- Если у вас
CRI-O c crun, версия первого должна быть старше 1.28.1, а версия второго от 1.9
- Если у вас CRI-O c runс, то поддержки еще нет- Если у вас
containerd, то нужно ждать выхода версии 2.0
В заметке также можно посмотреть demo, в котором показано как эта фича может остановить эксплуатацию CVE-2022-0492.P.S. Последнее время мы много внимания в постах и в комментариях обсуждаем тему user namespace =)
P.S.S. user namespace благо или нет мы рассмотрим в будущем ;)