Kubernetes v1.37은 워크로드 보호를 강화하기 위한 중요한 스토리지 보안 개선 사항을 도입합니다. 이러한 기능은 Kubernetes 내에서 직접 emptyDir 볼륨 권한 모드 및 바인드 마운트 옵션을 구성할 수 있도록 합니다. 이를 통해 개발자와 보안 전문가는 복잡한 우회 작업 없이 엄격한 보안 정책을 구현할 수 있습니다. 이러한 개선 사항은 바인드 마운트 플래그 및 디렉토리 권한과 같은 기본적인 Linux 보안 메커니즘을 기반으로 합니다.noexec, nosuid, nodev와 같은 바인드 마운트 플래그는 마운트된 파일 시스템에서 허용되는 작업을 제어합니다. 스티키 비트를 포함한 디렉토리 권한은 액세스를 규제하고 공유 디렉토리에서 무단 파일 삭제를 방지합니다. 이러한 기능의 주요 동기는 보안 관련 바인드 마운트 옵션을 허용하여 Kubernetes 워크로드 보안을 강화하는 것입니다. 이전에는 이러한 보호 플래그 없이 볼륨이 마운트되어 보안 취약점이 발생했습니다.해결된 중요한 격차는 emptyDir 볼륨에 대한 마운트 옵션을 설정할 수 없다는 점과 디렉토리에 대한 기본 0777 권한 모드입니다. 이로 인해 소유권에 관계없이 모든 프로세스가 emptyDir 볼륨 내의 파일에 액세스, 수정 또는 삭제할 수 있었습니다. 새로운 기능은 예를 들어 보안 공유 작업 공간을 위해 emptyDir에 스티키 비트를 설정하여 /tmp 동작을 미러링할 수 있도록 네이티브 솔루션을 제공합니다. 이러한 개선 사항은 애플리케이션 개발자가 쓰기 가능한 마운트에서 권한 상승을 방지하고 애플리케이션 데이터에 대한 최소 권한 원칙을 시행할 수 있도록 합니다.사용 사례에는 쓰기 가능한 볼륨에서 임의의 바이너리 실행을 방지하고 멀티 컨테이너 파드에서 공유 스크래치 공간을 보호하는 것이 포함됩니다. 개발자는 이제 0750과 같은 특정 모드를 설정하여 임시 스토리지에 대한 액세스를 자신 있게 잠글 수 있습니다. 두 기능 모두 v1.37에서 현재 Alpha이며 VolumeBindMountOptions 및 EmptyDirVolumeMode 기능 게이트를 활성화해야 합니다. 이러한 새로운 기능은 Linux 전용이며 Windows 노드에는 영향을 미치지 않습니다.