k8s进阶5——AppArmor、Seccomp、ImagePolicyWebhook

已于 2023-05-29 14:06:50 修改
阅读量1.5k 收藏 7
点赞数 3
分类专栏： K8s 文章标签： kubernetes 云原生 python
于 2023-05-25 21:21:47 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yi_qingjun/article/details/130171662
版权

文章目录

一、AppArmor限制容器对资源访问

概念：

  • AppArmor（Application Armor） 是一个 Linux 内核安全模块，用于限制主机操作系统上运行的进程。每个进程都可以拥有自己的安全配置文件，安全配置文件用来允许或禁止特定功能，例如网络访问、文件读/写/执行权限等。
  • 是Linux发行版的内置功能，比如Ubuntu、Debian、SUSE，而CentOS和redhat系统没有这个AppArmor，其功能相当于selinux，但selinux安全程度不高，也不方便使用，所以一般人不用。
  • Ubuntu系统携带了许多没有合并到上游 Linux 内核中的 AppArmor 补丁， 包括添加附加钩子和特性的补丁。Kubernetes 只在上游版本中测试过，不承诺支持其他特性。

工作模式：

  1. Enforcement（强制模式） ：在这种模式下，配置文件里列出的限制条件都会得到执行，并且对于违反这些限制条件的程序会进行日志记录，相当于selinux的enforcing模式。
  2. Complain（投诉模式）：在这种模式下，配置文件里的限制条件不会得到执行，Apparmor只是对程序的行为进行记录，一般用于调试，相当于selinux的permissive模式。

K8s使用AppArmor的先决条件：

  1. K8s版本v1.4+，检查是否支持：kubectl describe node |grep AppArmor。
  2. Linux内核已启用AppArmor，查看 cat /sys/module/apparmor/parameters/enabled。
  3. 容器运行时需要支持AppArmor，docker、CRI-O 、containerd都支持。
  4. 比如以下ubuntu系统核内核是支持的，但在centos系统是看不到apparmor进程的。
    在这里插入图片描述

工作流程图：在这里插入图片描述

1.1 实现步骤

****：

  1. 将自定义策略配置文件保存到默认目录/etc/apparmor.d/下。
  2. 加载配置文件到内核。
  3. 定义pod.yaml文件时，在注解参数下指定策略名。因为AppArmor目前还处于测试阶段，因此以注解形式设定，日后进入正式阶段就可以使用安全上下文格式来配置了。

1.1.1 定义策略

配置策略：

vim /etc/apparmor.d/k8s-deny-write      ##文件名称自定义。
#include <tunables/global>     ##默认格式，导入依赖，遵循C语言约定。
profile k8s-deny-write flags=(attach_disconnected) {    ##指定策略名，也就是命令能查到显示出来的策略名称。
 #include <abstractions/base>      ##定义策略。
 file,                             ##允许所有文件读写。
 deny /bin/** w,                   ##递归匹配，拒绝/bin目录下的所有目录和文件写权限。
 deny /data/www/** w,              ##递归匹配，拒绝/data/www目录下的所有目录和文件写权限。
}

1.1.2 加载策略

  • 使用以下命令将策略加载到内核。
常用命令释义
apparmor_status查看AppArmor配置文件的当前状态的。
apparmor_parser将AppArmor配置文件加载到内核中。
apparmor_parser < profile >加载到内核中。
apparmor_parser -r < profile >重新加载配置。
apparmor_parser -R < profile >删除配置。
aa-complain将AppArmor配置文件设置为投诉模式，需要安装apparmor-utils软件包。
aa-enforce将AppArmor配置文件设置为强制模式，需要安装apparmor-utils软件包。

1.1.3 引用策略

  • 定义pod.yaml时添加注解加以引用。
  • 注意，引用的策略文件必须是要pod所在的宿主机上，实际生产中是需要运维来维护的，可以写脚本把策略文件给K8s集群每个节点分配上去并加载到内核。
apiVersion: v1
kind: Pod
metadata:
  name: hello-apparmor
  annotations:
    container.apparmor.security.beta.kubernetes.io/<container_name>: localhost/<profile_ref>
   ......
   ##< container_name >： Pod中容器名称。
   ##< profile_ref >： Pod所在宿主机上策略名，默认目录/etc/apparmor.d。
访问文件权限模式字符描述
r读
w写
a追加
k文件锁定
l链接
x可执行
通配符描述示例
*在目录级别匹配零个或多个字符。/dir/* ：匹配目录中的任何文件。
/dir/a* ：匹配目录中以a开头的任意文件。
/dir/.png： 匹配目录中以.png结尾的任意文件。
/dir/a/ ：匹配/dir里面以a开头的目录。
/dir/*a/ ：匹配/dir里面以a结尾的目录。
**在多个目录级别匹配零个或多个字符。/dir/** ： 匹配/dir目录或者/dir目录下任何文件和目录。
/dir/**/ ： 匹配/dir或者/dir下面任何目录。
[]
[^]		字符串，匹配其中任意字符。/dir/[^.]* ：匹配/dir目录中以.之外的任何文件。
/dir/**[^/] ：匹配/dir目录或者/dir下面的任何目录中的任何文件。
pod.yaml字段释义
<container_name>pod.yaml文件里所针对的容器名称。
<profile_def>Pod所在宿主机上策略名，引用刚刚定义的配置文件。
<profile_ref>可以是以下取值之一：
runtime/default：应用运行时的默认配置。
localhost/<profile_name>：应用在主机上加载的名为 <profile_name> 的配置文件。
unconfined：表示不加载配置文件。

2.2 案例

案例：容器文件系统访问限制。

1.先查看默认生效的策略名称，我们定义的策略生效后就会显示在该列表中。
在这里插入图片描述
2.查看策略文件所在目录。
在这里插入图片描述
3.在K8s每个节点的/etc/apparmor.d目录下生成策略文件。策略是禁止在/bin目录下写，然后将策略文件加载到内核，查看结果。因为在编写pod.yaml里指定策略地址时，是使用的localhost读取本地。
在这里插入图片描述
在这里插入图片描述
4.先测试下使用我们生成策略之前效果，进入测试容器，可以在/bin目录下正常创建文件。
在这里插入图片描述
5.创建一个pod，其yaml文件里指定策略名称。
在这里插入图片描述
在这里插入图片描述
6.进入该容器创建目录测试效果。
在这里插入图片描述
7.若要修改策略，则修改后需要重新加载，并且需要重建pod容器。

apparmor parser -r k8s-deny-write

二、Seccomp 限制容器进程系统调用

前提了解：

  • 在Linux上， 我们操作的所有跟资源相关的命令都是通过系统调用来完成的。
  • 系统调用实现技术层次上解耦，内核只关心系统调用API的实现，而不必关心谁调用的。

调用关系图：
在这里插入图片描述

基本概念：

  1. Seccomp（Secure computing mode） 是一个 Linux 内核安全模块，可用于应用进程允许使用的系统调用。容器实际上是在宿主机上运行的一个进程，共享宿主机内核，如果所有容器都具有任何系统调用的能力，那么容器如果被入侵，就很轻松绕过容器隔离更改宿主机系统权限或者进入宿主机。这就可以使用Seccomp机制限制容器系统调用，有效减少攻击面。
  2. Linux发行版内置：CentOS、Ubuntu。

Type类型：

  • pod.yaml中会定义Type字段，表示将应用哪种类型的seccomp配置文件，具有如下选项：
    • Localhost：应该使用在节点上的文件中定义的配置文件。
    • RuntimeDefault：应该使用容器运行时默认配置文件。
    • Unconfined：无限制，不使用策略。

注意事项：

  1. 引用的策略文件必须是要pod所在的宿主机上，实际生产中是需要运维来维护的，可以写脚本把策略文件给K8s集群每个节点分配上去并加载到内核。
  2. Seccomp在Kubernetes 1.3版本引入，在1.19版本成为GA版本，因此K8s中使用Seccomp可以通过以下两种方式：
    • 1.19版本之前使用注解：
    annotations:
  seccomp.security.alpha.kubernetes.io/pod: "localhost/<profile>"
    • 1.19版本+配置安全上下文：
    apiVersion: v1
kind: Pod
metadata:
  name: hello-seccomp
spec:
  securityContext:
    seccompProfile:
      type: Localhost
      localhostProfile: <profile> # Pod所在宿主机上策略文件名，默认目录：/var/lib/kubelet/seccomp
  containers:
...

案例一：使用自定义策略

  • 需求：禁止容器使用chmod。

1.创建默认文件路径。

[root@k8s-master1 ~]# mkdir /var/lib/kubelet/seccomp

2.在默认路径下生成限制策略。

[root@k8s-master1 seccomp]# cat chmod.json 
{
  "defaultAction": "SCMP_ACT_ALLOW",       ##在syscalls部分未定义的任何系统调用默认动作为允许。
  "syscalls": [
    {
        "names": [                      ##系统调用名称，可以换行写多个。
          "chmod"
        ],
        "action": "SCMP_ACT_ERRNO"      ## 阻止自定义的系统调用。
    }
  ]  
}

3.创建pod时，引用该策略。

[root@k8s-master1 ResourceQuota]# cat pod.yaml 
apiVersion: v1
kind: Pod
metadata:
  name: baimu
spec:
  nodeName: k8s-master1    ##需要执行该pod被分配的机器上是有限制策略的。
  securityContext:         ##添加此参数。
    seccompProfile:
      type: Localhost      ##指定类型，调用本地自定义策略文件。
      localhostProfile: chmod.json       ##使用相对路径，指定应用策略名称。
  containers:
  - image: busybox
    name: test
    command:
    - sleep
    - 24h

4.进入普通容器测试可以修改权限。
在这里插入图片描述
5.进入指定限制策略的容器修改权限失败，限制成功。
在这里插入图片描述
6.此时需要再限制创建目录权限，就直接在chmod.json文件里加。
在这里插入图片描述
7.限制策略文件内容更改后，指定该策略的pod需要重新创建，先删除再创建容器，最后进入容器测试。
在这里插入图片描述

案例二：使用容器运行时默认策略

  • 大多数容器运行时都提供一组允许或不允许的默认系统调用。

  • 通过使用 runtime/default 注释 或将Pod 或容器的安全上下文中的 seccomp 类型设置为 RuntimeDefault，可以轻松地在 Kubernetes中应用默认值。

  • docker默认配置说明
    在这里插入图片描述

1.指定docker默认策略创建pod。

[root@k8s-master1 ResourceQuota]# cat pod.yaml 
apiVersion: v1
kind: Pod
metadata:
  name: baimu
spec:
  nodeName: k8s-master1
  securityContext:
    seccompProfile:
      type: RuntimeDefault    ##修改类型，使用容器运行时默认策略。
    #  localhostProfile: chmod.json    ##注释掉。
  containers:
  - image: busybox
    name: test
    command:
    - sleep
    - 24h

2.查看系统调用。查看操作命令用到哪些系统调用可以使用strace命令查看，一个命令通常会使用多个系统调用，若是在实际生产中使用需要挨个调试。

[root@k8s-master1 seccomp]# yum -y install strace

在这里插入图片描述

三、动态准入控制Webhook

基本概念：

  • 前面讲过的准入控制是通过添加K8s内置的准入插件来实现，当然也可以作为扩展独立开发，并以运行时所配置的 Webhook 的形式运行。
  • 准入控制器Webhook是准入控制插件的一种，是一种用于接收准入请求并对其进行处理的 HTTP 回调机制 ，常用于拦截所有向apiserver发送的请求，并且可以修改请求或拒绝请求。
  • Admission webhook为开发者提供了非常灵活的插件模式，在kubernetes资源持久化之前，管理员通过程序可以对指定资源做校验、修改等操作。例如为资源自动打标签、pod设置默认SA，自动注入sidecar容器等。

Webhook准入控制器分类：

  1. Mutating Admission Webhook：先调用，修改资源，理论上可以监听并修改任何经过ApiServer处理的请求。
  2. Validating Admission Webhook：后调用，验证资源。
  3. ImagePolicyWebhook：镜像策略，主要验证镜像字段是否满足条件，允许使用后端 Webhook 做出准入决策。

工作流程图：
在这里插入图片描述

3.1 ImagePolicyWebhook控制器

工作流程图：
在这里插入图片描述
玩法思路：

  1. 签发证书。镜像策略服务器是以https启用，需要给它自签证书，访问它时也要携带根证书或者客户端证书。
  2. 准备imgaepolicywebhook配置文件，指定镜像策略服务器配置文件存放目录。
  3. 准备镜像策略服务器配置文件，指定连接服务器IP地址、端口、API、根证书、客户端证书。
  4. 启用准入控制插件。

3.1.1 apiserver服务器准备操作

1.定义镜像策略控制器配置文件，指定配置文件存放路径。

##镜像策略控制器配置文件，指定连接镜像策略服务器配置文件地址，连接服务器通用策略。
[root@k8s-master1 imagepolicywebhook]# cat admission_configuration.yaml 
apiVersion: apiserver.config.k8s.io/v1
kind: AdmissionConfiguration
plugins:
- name: ImagePolicyWebhook
  configuration:
    imagePolicy:
      kubeConfigFile: /etc/kubernetes/image-policy/connect_webhook.yaml  # 指定镜像策略服务器配置文件。
      allowTTL: 50       # 控制批准请求的缓存时间，单位秒
      denyTTL: 50        # 控制批准请求的缓存时间，单位秒
      retryBackoff: 500    # 控制重试间隔，单位毫秒
      defaultAllow: true    # 确定webhook后端失效的行为

2.定义镜像策略服务器连接配置文件，指定它的根证书、连接它的客户端证书、连接地址、端口和API。

[root@k8s-master1 imagepolicywebhook]# cat connect_webhook.yaml 
apiVersion: v1
kind: Config
clusters:
- cluster:
    certificate-authority: /etc/kubernetes/image-policy/webhook.pem # 数字证书，用于验证远程服务
    server: https://192.168.130.146:8080/image_policy # 镜像策略服务器地址，必须是https
  name: webhook
contexts:
- context:
    cluster: webhook
    user: apiserver
  name: webhook
current-context: webhook 
preferences: {}
users:
- name: apiserver
  user:
    client-certificate: /etc/kubernetes/image-policy/apiserver-client.pem # webhook准入控制器使用的证书
    client-key: /etc/kubernetes/image-policy/apiserver-client-key.pem # 对应私钥证书

3.统一两文件存放目录。

[root@k8s-master1 imagepolicywebhook]# mkdir -p /etc/kubernetes/image-policy  
[root@k8s-master1 imagepolicywebhook]# mv admission_configuration.yaml connect_webhook.yaml /etc/kubernetes/image-policy/

4.签发证书。

[root@k8s-master1 ssl]# cat image-policy-certs.sh 
cat > ca-config.json <<EOF    ##k8s根证书。
{
  "signing": {
    "default": {
      "expiry": "87600h"
    },
    "profiles": {
      "kubernetes": {
         "expiry": "87600h",
         "usages": [
            "signing",
            "key encipherment",
            "server auth",
            "client auth"
        ]
      }
    }
  }
}
EOF

cat > ca-csr.json <<EOF
{
    "CN": "kubernetes",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "Beijing",
            "ST": "Beijing"
        }
    ]
}
EOF

cfssl gencert -initca ca-csr.json | cfssljson -bare ca -

cat > webhook-csr.json <<EOF   ##镜像策略服务器根证书。
{
  "CN": "webhook",
  "hosts": [
   "192.168.130.146"     ##镜像策略服务器地址。
   ],
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "L": "BeiJing",
      "ST": "BeiJing"
    }
  ]
}
EOF

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes webhook-csr.json | cfssljson -bare webhook

cat > apiserver-client-csr.json <<EOF            ##连接镜像策略服务器的客户端证书。
{
  "CN": "apiserver",
  "hosts": [],
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "L": "BeiJing",
      "ST": "BeiJing"
    }
  ]
}
EOF

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes apiserver-client-csr.json | cfssljson -bare apiserver-client

在这里插入图片描述

5.将证书放入前面两文件目录里，文件里有指定读取这两个证书。

[root@k8s-master1 ssl]# mv apiserver-client*.pem webhook.pem /etc/kubernetes/image-policy/

6.修改apiserver配置文件，开启ImagePolicyWebhook插件，指定imagepolicywebhook配置文件位置，并挂载到容器里面。

 - --enable-admission-plugins=NodeRestriction,ImagePolicyWebhook
 - --admission-control-config-file=/etc/kubernetes/image-policy/admission_configuration.yaml

在这里插入图片描述
在这里插入图片描述

3.1.2 部署webhook服务器

在这里插入图片描述

1.部署webhook站点服务器，我这里是写了一个python程序来实现对部署时的镜像没有指定标签（即latest）进行拒绝。

[root@k8s-master2 imagepolicywebhook]# cat main.py 
from flask import Flask,request
import json

app = Flask(__name__)

@app.route('/image_policy',methods=["POST"])     ##处理发送过来的post请求。
def image_policy():
    post_data = request.get_data().decode()           ##接受发送过来的post请求。
    #print("POST数据: %s" %post_data)                  ##将post请求打印出来。
    data = json.loads(post_data)                      ##解析这个post请求。
    for c in data['spec']['containers']:                  ##过滤这个post请求中的spec.containers字段下的内容。
        if ":" not in c['image'] or ":latest" in c['image']:  ##如果镜像里不带冒号或者带:latest说明是镜像使用latest标签。
            allowed, reason = False, "检查镜像失败！镜像标签不允许使用latest!"
            break
        else:
            allowed, reason = True, "检查镜像通过."
    print("检查结果: %s" %reason)
    result = {"apiVersion": "imagepolicy.k8s.io/v1alpha1","kind": "ImageReview",     ##返回个apiserver的api，固定格式。
              "status": {"allowed": allowed,"reason": reason}}

    return json.dumps(result,ensure_ascii=False) 

if __name__ == "__main__":                               ##监听服务端口8999，需要把证书传到该服务器，后面会挂载到容器里。
    app.run(host="0.0.0.0",port=8080,ssl_context=('/data/www/webhook.pem','/data/www/webhook-key.pem'))

2.构建镜像。

[root@k8s-master2 imagepolicywebhook]# cat Dockerfile 
FROM python
RUN useradd python
RUN mkdir /data/www -p
COPY . /data/www
RUN chown -R python /data
RUN pip install flask -i https://mirrors.aliyun.com/pypi/simple/
WORKDIR /data/www
USER python
CMD python main.py 

[root@k8s-master2 imagepolicywebhook]# docker build -t qingjun:v1  .

3.准备好之前在apiserver服务器上创建的证书，并运行一个容器进入查看，容器日志会显示python程序检查apiserver发过来的请求结果。

docker run -d -u root --name=baimu1 \
-v $PWD/webhook.pem:/data/www/webhook.pem \
-v $PWD/webhook-key.pem:/data/www/webhook-key.pem \
-e PYTHONUNBUFFERED=1 -p 8080:8080 \
qingjun:v1

在这里插入图片描述

3.1.3 测试验证

1.创建pod容器时，使用不带标签的镜像，则返回false。
在这里插入图片描述
2.创建pod容器时，使用带latest标签的镜像，返回false。
在这里插入图片描述
3.创建pod容器时，使用带标签的镜像，返回true。
在这里插入图片描述

百慕卿君
关注
  • 3
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
专栏目录
AppArmor配置文件语法说明
tangzhangyin的专栏
03-15 1702
AppArmor策略语法解析
apparmor-docker
05-28
在主机上加载Docker的AppArmor配置文件 用法： docker run -v /sys/kernel/security:/sys/kernel/security --privileged --rm -t ewindisch/apparmor 内核配置 机器必须具有可用并已配置的AppArmor模块。 主机上不需要AppArmor用户空间。 对于某些发行版，可能需要以下内核命令行： apparmor=1 security=apparmor 有关启用AppArmor的信息，请参阅发行版的文档。
apparmor：apparmor厨师食谱的开发存储库
02-06
Apparmor食谱 默认配方将安装和管理AppArmor服务，或者根据default['apparmor']['disable']属性禁用和删除AppArmor。 还包括用于管理AppArmor策略的自定义资源（LWRP）。 要求 平台类 的Ubuntu 德比安 厨师 厨师12.7+ 食谱 没有 属性 default['apparmor']['disable'] ：控制在default.rb配方中安装或删除apparmor服务。 默认值为false，这将安装apparmor，启动服务并启用该服务。 菜谱 default.rb 此食谱将安装或删除apparmor软件包，并根据defaul
docker-sec:Docker容器的自动AppArmor管理
05-09
泊坞窗 Docker容器的自动AppArmor管理 用法 要使用docker-sec，只需通过添加后缀-sec即可使用docker命令。 例如，要启动新容器，请运行以下命令： docker-sec run --name safe-nginx -p 80:80 nginx 要使用docker-sec用户的个人档案培训功能，可以执行以下操作： docker-sec train-stop safe-nginx # browse nginx pages... docker-sec train-stop safe-nginx 安装 要安装docker-sec，首先必须安装并启用AppArmor。 另外，必须在系统中安装auditd。 对于基于Debian的系统，请运行： sudo apt-get install auditd audispd-plugins 下一步，从github克隆doc
Seccomp BPF 详细解析
x646602196的博客
04-13 1244
Secommp (SECure COMPuting) 是 Linux 内核 2.6.12 版本引入的安全模块，主要是用来限制某一进程可用的系统调用 (system call)。它最初被用于 cpushare 这个项目，让人们可以出租自己空闲的 cpu cycle 来执行 untrusted code。这个 feature 本身并不是一个沙盒 (sandbox)，它只是一种减少 Linux 内核暴露的机制，是构建一个安全的沙盒的重要组成部分。
从 manual 中学习 seccomp 技术
龙瑜的博客
08-20 820
在限制程序能够使用的系统调用这篇文章中我描述了使用 seccomp 来限制程序系统调用的技术，虽然能够上手却并不了解它提供的真正功能与实际的应用场景，在本篇文章中探讨下。
seccomp介绍
热门推荐
mashimiao的专栏
06-22 2万+
什么是seccomp seccomp（全称securecomputing mode）是linuxkernel从2.6.23版本开始所支持的一种安全机制。 在Linux系统里，大量的系统调用（systemcall）直接暴露给用户态程序。但是，并不是所有的系统调用都被需要，而且不安全的代码滥用系统调用会对系统造成安全威胁。通过seccomp，我们限制程序使用某些系统调用，这样可以减少系统的暴露面，
Linux安全模块AppArmor总结
yolo_yyh的博客
11-24 4517
Linux的安全模块，除了SELinux还有AppArmor，AppArmor相对来说要简单很多，多用于Ubuntu系统，这篇文章带大家了解AppArmor的策略。
LINUX SECCOMP模块介绍
SHELLCODE_8BIT的博客
11-22 2695
Seccomp是 "secure computing" 的 缩写。Linux内核2.6.12版本（2005年3月8日）引入。是linux一个安全模块，用于限制程序系统调用；我们来看下例子。
Linux/Android之seccomp介绍及使用(一百一十六)
Android系统攻城狮
07-06 4109
seccomp是Linux的一种安全机制，android 8.1以后版本使用seccomp.主要功能是限制直接通过syscall去调用某些系统函数 3.strict模式和filter模式应用 1.strict模式# emacs strict.c 2.基于BPF(伯克利分组过滤器)的seccomp安装依赖包 上述基于prctl系统调用的seccomp机制不够灵活，在linux 3.5之后引入了基于BPF的可定制的系统调用过滤功能。# emacs filter.c.........
seccomp限制系统调用
oneslide
06-06 476
Secure Computing Mode(seccomp)是一个内核功能,允许您过滤容器到内核的系统调用。Seccomp提供比功能更精细的控制,使攻击者在容器只能获得有限数量的系统调用。Seccomp 过滤器使用BPF程序的指针替换容器内发起的系统调用, 当容器发起系统调用时，将执行该BPF程序而不是系统调用。Seccomp使用伯克利数据包过滤器(BPF)系统,该系统可在运行时进行编程,用于创建自定义过滤器。还可以通过自定义限制某个系统调用的条件或时间来限制该系统调用。
apparmor配置文件：某些应用程序的AppArmor安全配置文件
02-06
apparmor配置文件：某些应用程序的AppArmor安全配置文件
bane：用于Docker容器的自定义和更好的AppArmor配置文件生成器
01-30
祸根 用于Docker容器的AppArmor配置文件生成器。 基本上，比手动创建一个更好的AppArmor配置文件，因为谁会这样做。 “审查AppArmor配置文件请求请求是我生存的祸根” 杰西·弗雷泽（Jess Frazelle） 目录安装二进制...
kube-flannel.yml
01-21
seccomp.security.alpha.kubernetes.io/allowedProfileNames: docker/default seccomp.security.alpha.kubernetes.io/defaultProfileName: docker/default apparmor.security.beta.kubernetes.io/...
seccomp学习 (1)
CoLin的pwn小屋
10-30 426
seccomp学习 (1)
Linux Seccomp 简介
最新发布
小立仔
02-27 920
Linux Seccomp简介，以及其简单的使用。
Linux系统编程 —— seccomp沙箱安全机制
柯西丶不是你的博客
05-12 4423
一、简介 安全计算模式 seccomp（Secure Computing Mode）是自 Linux 2.6.10 之后引入到 kernel 的特性。一切都在内核中完成，不需要额外的上下文切换，所以不会造成性能问题。目前 在 Docker 和 Chrome 中广泛使用。使用 seccomp，可以定义系统调用白名单和黑名单，可以 定义出现非法系统调用时候的动作，比如结束进程或者使进程调用失败。 seccomp机制用于限制应用程序可以使用的系统调用，增加系统的安全性。 在/proc/${pid}/st.
【Linux】apparmor小记
zclinux的博客
10-09 1275
这是一个linux的内核安全模块，是一个MAC（强制控制存取）系统，和Selinux类似的一种访问控制系统，每个进程都可以相应的有自己的安全配置文件，这文件里面用来指定允许或者禁止某种功能，例如网络端口、访问、文件相关的读写以及执行等，比如linux发行版unbuntu、debian等都是内置的。能限制程序在一组有限的资源，那就能限制容器对资源的访问。需要安装软件包。
Sec-comp机制简介及编程案例
李老板的移动安全杂货铺
12-03 903
然后，我们使用`seccomp_rule_add()`函数添加了一些允许的系统调用，例如`open()`、`read()`、`write()`和`close()`。然后，我们使用`seccomp_load()`函数加载seccomp过滤器，`prctl()`函数将本进程设置为seccomp模式，并运行了“she'll”进程（你可以将路径更改为she'll进程的正确路径）。seccomp机制的优点是可以有效地限制应用程序的权限和可执行的系统调用，减少了恶意代码的攻击面，提高了系统的安全性。
apparmor-utils 离线包
06-01
如果你需要在没有互联网连接的情况下安装apparmor-utils，可以通过以下步骤下载离线安装包： 1. 在另一台连接互联网的计算机上，打开终端。 2. 运行以下命令下载apparmor-utils的离线包： ``` apt-get download apparmor-utils ``` 3. 等待下载完成，将生成一个名为“apparmor-utils_x.x.x-xx_amd64.deb”的文件，其中x.x.x-xx是版本号。 4. 将该文件复制到需要安装apparmor-utils的计算机上。 5. 在需要安装apparmor-utils的计算机上，打开终端，以root身份登录系统。 6. 运行以下命令进行安装： ``` dpkg -i apparmor-utils_x.x.x-xx_amd64.deb ``` 7. 安装完成后，就可以使用apparmor-utils工具了。 请注意，离线安装可能会导致依赖项问题。如果有依赖项问题，你需要手动解决这些问题。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

百慕卿君

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值