56 улучшения, что на текущий момент самый масштабный релиз. Вопросы безопасности не остались без внимания, я бы даже сказал - были одними из самых фундаментальных:-
PodSecurity admission controller (alpha feature) - замена старой PSP
- Unprivileged users to bind low ports using the sysctl in the security context - теперь биндить порты в контейнере ниже 1024 можно и не привилегированным пользователем (не root)-
NetworkPolicyEndPort (beta feature) - возможность работы с диапазоном портов в NetworkPolicy (но вы все также зависите от своего CNI - он должен это уметь поддерживать) -
Immutable label selectors for all namespaces - будет проще работать с NetworkPolicy -
Default seccomp (alpha feature) - использование встроенного seccomp профиля для всех контейнеров по умолчанию (будет заблокировано около 60 syscalls)-
Kubelet-in-UserNS (aka Rootless mode) (alpha feature) - это позволит всем Kubernetes компонентам и контейнерам работать от non-root пользователей, тем самым значительно снизив риск при побеге из контейнера. Для запуска нужно активировать KubeletInUserNamespace в feature gate.Это далеко не все моменты связанные так или иначе с ИБ - лучше просмотреть полный список. Из того что я еще лично очень ожидаю, так это полную поддержку
Cgroupsv2, которая сейчас только частичная.P.S. Теперь придётся значительно обновить свои доклады и тренинг …
