Kubernetes v1.37 は、ワークロード保護を強化するための重要なストレージセキュリティ強化機能を導入します。これらの機能により、Kubernetes 内で直接 emptyDir ボリュームのパーミッションモードとバインドマウントオプションを設定できるようになります。これにより、開発者やセキュリティ専門家は、複雑な回避策なしに厳格なセキュリティポリシーを実装できます。これらの改善は、バインドマウントフラグやディレクトリパーミッションなどの基本的な Linux セキュリティメカニズムに基づいています。noexec、nosuid、nodev などのバインドマウントフラグは、マウントされたファイルシステムで許可されるアクションを制御します。スティッキービットを含むディレクトリパーミッションは、アクセスを規制し、共有ディレクトリでの不正なファイル削除を防ぎます。これらの機能の主な動機は、セキュリティ関連のバインドマウントオプションを許可することで、Kubernetes ワークロードのセキュリティを強化することです。以前は、ボリュームはこれらの保護フラグなしでマウントされており、セキュリティ上の脆弱性が生じていました。対処された重要なギャップは、emptyDir ボリュームにマウントオプションを設定できないことと、ディレクトリのデフォルトの 0777 パーミッションモードです。これにより、所有権に関係なく、任意のプロセスが emptyDir ボリューム内のファイルにアクセス、変更、または削除することが可能でした。新しい機能はネイティブソリューションを提供し、例えば、セキュアな共有ワークスペースのために emptyDir にスティッキービットを設定できるようにし、/tmp の動作を模倣します。これらの強化により、アプリケーション開発者は書き込み可能なマウントでの権限昇格を防ぎ、アプリケーションデータに対して最小権限の原則を強制できます。ユースケースには、書き込み可能なボリュームからの任意のバイナリ実行を防ぐことや、マルチコンテナポッドでの共有スクラッチスペースを保護することが含まれます。開発者は、0750 のような特定のモードを設定することで、一時ストレージへのアクセスを自信を持ってロックダウンできるようになりました。両方の機能は現在 v1.37 でアルファ版であり、機能ゲート VolumeBindMountOptions と EmptyDirVolumeMode を有効にする必要があります。これらの新しい機能は Linux 固有であり、Windows ノードには影響しません。