Kubernetes v1.37 представляет важные улучшения безопасности хранения данных для усиления защиты рабочих нагрузок. Эти функции позволяют настраивать режимы разрешений для томов emptyDir и параметры bind mount непосредственно в Kubernetes. Это дает разработчикам и специалистам по безопасности возможность применять строгие политики безопасности без сложных обходных путей. Улучшения основаны на фундаментальных механизмах безопасности Linux, таких как флаги bind mount и разрешения каталогов.Флаги bind mount, такие как noexec, nosuid и nodev, контролируют действия, разрешенные на смонтированных файловых системах. Разрешения каталогов, включая sticky bit, регулируют доступ и предотвращают несанкционированное удаление файлов в общих каталогах. Основной мотивацией для этих функций является повышение безопасности рабочих нагрузок Kubernetes путем предоставления параметров bind mount, имеющих отношение к безопасности. Ранее тома монтировались без этих защитных флагов, что создавало уязвимости в безопасности.Существенный пробел, который был устранен, — это невозможность установки параметров монтирования для томов emptyDir и режим разрешений по умолчанию 0777 для каталогов. Это позволяло любому процессу получать доступ, изменять или удалять файлы в томах emptyDir независимо от владельца. Новые функции предоставляют нативные решения, например, позволяя устанавливать sticky bit на emptyDir для безопасных общих рабочих пространств, аналогично поведению /tmp. Эти улучшения позволяют разработчикам приложений предотвращать повышение привилегий на записываемых монтированиях и обеспечивать принцип наименьших привилегий для данных приложений.Сценарии использования включают предотвращение произвольного выполнения двоичных файлов из записываемых томов и обеспечение безопасности общего временного пространства в многоконтейнерных подах. Разработчики теперь могут уверенно ограничивать доступ к временному хранилищу, устанавливая определенные режимы, такие как 0750. Обе функции в настоящее время находятся в стадии Alpha в v1.37 и требуют включения feature gates: VolumeBindMountOptions и EmptyDirVolumeMode. Эти новые возможности специфичны для Linux и не затрагивают узлы Windows.