目录标题
Kubernetes 中的特权模式容器笔记
特权模式定义
在 Kubernetes 中，特权模式是一种特殊的 Pod 配置，允许容器内的进程拥有接近宿主机的访问权限。在特权模式下运行的容器可以访问宿主机的所有设备，执行需要更高权限的系统调用，甚至可以在容器内部运行 Docker 守护进程。
特权模式的配置
在 Kubernetes 中，可以通过 Pod 定义中的 securityContext 设置容器为特权模式。例如：
apiVersion: v1
kind: Pod
metadata:name: privileged-pod
spec:containers:- name: containerimage: ubuntusecurityContext:privileged: true
特权模式的影响
如何检查特权模式
要检查 Kubernetes 集群中的 Pod 是否以特权模式运行，可以使用 kubectl describe pod <pod-name> 命令，查看 Pod 的详细信息，包括其安全上下文设置。
查看 Pod 详细信息
kubectl describe pod <pod-name>
ka get pod oracle-6c0782740-0 -oyaml | grep -C 5 privileged
查找 Security Context 部分
在输出中，查找 Containers 部分下的 Security Context，如果 privileged 显示为 true，则表明该容器以特权模式运行。
特权模式的使用建议
- 谨慎使用：特权模式应谨慎使用，仅在必要时启用。
- 安全考虑：在生产环境中，建议避免使用特权容器，以减少潜在的安全风险。
- 最小权限原则：尽量遵循最小权限原则，仅授予必要的权限。
总结
特权模式在 Kubernetes 中提供了更高的灵活性和访问权限，但同时也带来了安全风险。在实际使用中，应权衡利弊，谨慎使用特权模式，并采取适当的安全措施来保护集群集的安全。
希望这份笔记能帮助你更好地理解和使用 Kubernetes 中的特权模式容器。如果有任何疑问或需要进一步的信息，请随时提问。
容器里面ps -ef和宿主机是一样的
可能的原因
-
容器与宿主机共享命名空间：
如果容器是以特权模式（--privileged）运行的，或者容器与宿主机共享了某些命名空间（如 PID 命名空间），那么容器内部的进程列表将包含宿主机的进程。这是因为 PID 命名空间共享后，容器内的进程可以看到宿主机上的所有进程。 -
查看的是宿主机的进程：
在某些情况下，容器可能直接显示宿主机的进程信息，而不是容器自身的进程信息。这可能是因为容器的 PID 命名空间没有被隔离，或者容器是以某种方式配置为显示宿主机的进程信息。 -
容器内没有运行额外的进程：
如果容器内除了容器运行时的进程（如containerd或dockerd等）之外，没有启动其他进程，那么ps -ef命令可能不会显示额外的进程。这可能是因为容器设计为只运行单个前台进程，而该进程已经退出，导致容器没有其他活跃的进程。 -
容器配置问题：
容器的配置可能存在问题，导致容器没有正确地创建自己的 PID 命名空间。这可能是由于 Docker 或其他容器运行时的配置错误。 -
查看方式问题：
在容器内部执行ps -ef命令时，如果没有指定容器的 PID 命名空间，可能会显示宿主机的进程信息。可以尝试使用ps -ef -p $$（其中$$是当前进程的 PID）来限制显示当前进程及其子进程的信息。
解决方法
-
检查容器的运行参数：
确保容器是以非特权模式运行的，并且正确配置了 PID 命名空间。例如，避免使用--privileged标志，而是使用--pid=host来明确指定 PID 命名空间的行为。 -
使用 Docker 的
--pid参数：
在运行容器时，可以使用--pid=host参数来共享宿主机的 PID 命名空间，或者使用--pid=container:<container_id>来与其他容器共享 PID 命名空间。 -
使用
docker top命令：
使用docker top <container_id>命令来查看容器内部的进程列表，这个命令会显示容器内部的进程信息，而不是宿主机的进程信息。
