Kubernetes的安全指南

1.为容器配置 Security Context

      大部分情况下容器不需要太多的权限，通过 Security Context 限定容器的权限和访问控制，只需加上 SecurityContext 字段。

2.禁用 allowPrivilegeEscalation

     allowPrivilegeEscalation=true 表示容器的任何子进程都可以获得比父进程更多的权限。最好将其设置为 false，以确保 RunAsUser 命令不能绕过其现有的权限集。

3. 不要使用 root 用户

     为了防止来自容器内的提权攻击，最好不要使用 root 用户运行容器内的应用。UID 设置大一点，尽量大于 3000。

4. 限制 CPU 和内存资源

     加上requests 和 limits。

5. 不必挂载 Service Account Token 

    ServiceAccount 为 Pod 中运行的进程提供身份标识，怎么标识呢？当然是通过 Token 啦，有了 Token，就防止假冒伪劣进程。如果你的应用不需要这个身份标识，可以不必挂载：