Kubernetes v1.37 存储安全增强：Bind Mount Options 与 EmptyDir 权限

技术要点

Kubernetes v1.37 版本引入了两项核心的存储安全增强特性，目前均处于 Alpha 特性门控（Feature Gate）阶段。

1. Bind Mount Options：允许在 Pod 规范中为卷挂载指定 Linux 挂载标志。具体支持的标志包括 noexec（禁止执行挂载文件系统上的任何二进制文件）、nosuid（禁止 set-user-identifier 或 set-group-identifier 位生效）和 nodev（禁止解释文件系统上的字符或块特殊设备）。这为容器内的卷挂载提供了更细粒度的安全控制。
2. EmptyDir 权限模式：支持为 emptyDir 卷设置创建时的目录权限模式（mode）。例如，可以设置为 01777 以启用 Unix 的 sticky bit，或设置为 0750 等更严格的权限。这解决了 emptyDir 默认以 0777 模式创建目录所带来的安全问题。

这些特性需要通过在 API 服务器和 kubelet 上启用 VolumeBindMountOptions 和 EmptyDirVolumeMode 这两个 Alpha 特性门控来使用。

原理与背景

这两项特性的引入，根植于 Linux 底层的存储与权限安全机制，旨在填补 Kubernetes 在卷安全配置上的长期空白。

Bind Mount Options 的设计动机：在 Kubernetes 中，卷（如 emptyDir、PersistentVolume）默认通过容器运行时和 kubelet 以 bind mount 方式挂载到容器内。然而，这种默认的 bind mount 操作并未施加 noexec、nosuid 或 nodev 等关键的安全标志。这意味着，即使容器根文件系统被设置为只读（readOnlyRootFilesystem: true），一个被 compromised 的进程仍可以利用任何可写的卷（如 emptyDir）下载并执行任意二进制文件，从而可能导致特权升级。支持 noexec、nosuid 和 nodev 标志，为用户提供了原生方式，使卷挂载的安全级别能够匹配安全基准和政策要求。

EmptyDir 权限模式的设计动机：emptyDir 是 Kubernetes 中最常见的可写卷类型。其默认创建模式为硬编码的 0777，这导致任何能够发现该卷的进程都可以读取、写入和删除其中的文件，无论文件由谁创建。这在多容器 Pod 共享 emptyDir 时尤为危险，一个容器可以删除另一个容器创建的文件。此外，许多应用程序和安全框架期望 /tmp 目录具有 sticky bit（模式 01777），以防止非所有者删除文件。此前，用户必须通过 init 容器运行 chmod 命令来设置权限，这增加了复杂性且难以验证合规性。支持 emptyDir 的 mode 配置，使得用户能够原生地设置如 01777 或 0750 等权限，满足安全需求。

素材中提及，emptyDir 缺乏挂载选项和权限控制的问题已被多次安全审计指出（如 Issue #48912 和 Kubernetes 1.24 Security Audit 中的 Finding NCC-E003660-7HM），此次更新正是为了填补这一安全缺口。

落地建议

对于平台工程师和应用程序开发者，要利用 v1.37 的这些新特性增强工作负载安全性，可以遵循以下通用做法：

1. 启用特性门控：首先，确保你的 Kubernetes 集群 API 服务器和 kubelet 已启用 VolumeBindMountOptions 和 EmptyDirVolumeMode 特性门控。由于它们是 Alpha 特性，在生产环境使用前需充分评估稳定性和兼容性。
2. 配置 Bind Mount Options：在 Pod 或 VolumeMount 规范中，使用 bindMountOptions 字段为特定卷挂载添加安全标志。例如，对于临时工作空间卷（如挂载到 /tmp 的 emptyDir），可以添加 noexec 和 nosuid 选项，以阻止在该卷上执行代码和特权提升。这尤其适用于设置了 readOnlyRootFilesystem: true 的容器。
3. 设置 EmptyDir 权限模式：在 emptyDir 卷定义中，使用 mode 字段指定所需的目录权限。对于需要共享且防止文件被意外删除的临时空间（如 CI/CD 流水线中的多容器共享工作区），设置为 01777 可以模拟标准 Unix /tmp 的行为。对于需要限制访问的应用数据临时存储，可以设置为更严格的模式如 0750。
4. 验证与安全测试：部署配置了上述安全选项的 Pod 后，可以通过 kubectl exec 进入容器进行验证。例如，尝试在挂载了 noexec 选项的卷上创建并执行脚本，应会收到“Permission denied”错误；尝试在具有 01777 模式的 emptyDir 中删除非自己创建的文件，也应被阻止。这有助于确认安全策略是否生效。

这些特性为在 Kubernetes 中实施更严格的存储安全策略提供了原生支持，有助于满足安全合规要求并降低工作负载风险。