Kubernetes v1.37 引入了关键的存储安全增强功能，以加强工作负载保护。这些功能允许直接在 Kubernetes 中配置 emptyDir 卷的权限模式和绑定挂载选项。这使得开发人员和安全专业人员能够在无需复杂变通方案的情况下实施严格的安全策略。这些改进基于根本的 Linux 安全机制，如绑定挂载标志和目录权限。绑定挂载标志（例如 noexec、nosuid 和 nodev）控制允许在已挂载的文件系统上执行的操作。目录权限（包括粘滞位）规范访问权限，并防止在共享目录中进行未经授权的删除操作。这些功能的主要动机是通过允许设置安全相关的绑定挂载选项来提升 Kubernetes 工作负载的安全性。此前，卷在挂载时未包含这些保护标志，从而造成了安全漏洞。所解决的一个重大差距是：无法为 emptyDir 卷设置挂载选项，且目录的默认权限模式为 0777。这导致任何进程均可访问、修改或删除 emptyDir 卷中的文件，而不论其所有权归属。新功能提供了原生解决方案，例如允许在 emptyDir 上设置粘滞位，以实现安全的共享工作区，其行为类似于 /tmp。这些增强功能使应用程序开发人员能够防止在可写挂载点上发生权限提升，并强制对应用程序数据实施最小权限原则。使用场景包括防止从可写卷执行任意二进制文件，以及保护多容器 Pod 中的共享临时存储空间。开发人员现在可以自信地通过设置特定模式（如 0750）来锁定对临时存储的访问。这两项功能在 v1.37 中当前处于 Alpha 阶段，需要启用功能门控：VolumeBindMountOptions 和 EmptyDirVolumeMode。这些新功能仅适用于 Linux，不影响 Windows 节点。