受限制的 PodSecurityPolicy 不应该使用“MayRunAs”而不是“MustRunAs”吗

Question

k8s 文档有一个受限 PodSecurityPolicy 的示例：

https://kubernetes.io/docs/concepts/policy/pod-security-policy/#example-policies

包含以下sn-p：

  supplementalGroups:
    rule: 'MustRunAs'
    ranges:
      # Forbid adding the root group.
      - min: 1
        max: 65535
  fsGroup:
    rule: 'MustRunAs'
    ranges:
      # Forbid adding the root group.
      - min: 1
        max: 65535

我想知道为什么他们使用规则“MustRunAs”而不是“MayRunAs”。

“MustRunAs”的文档说明：“使用第一个范围的最小值作为默认值。”

因此，我的理解是，对于任何容器，supplementalGroup 和 fsGroup 都将默认为 1（如果未在 pod 或容器 securityContext 中另行指定），而如果使用了“MayRunAs”，则不会使用默认的supplementalGroup / fsGroup已分配。

因此，对限制性 PodSecurityPolicy 使用“MayRunAs”而不是“MustRunAs”不是更好吗？

Answer 1

因此，对限制性 PodSecurityPolicy 使用“MayRunAs”而不是“MustRunAs”不是更好吗？

在我看来MustRunAs 比MayRunAs 更严格。让我们看看Pull Request 是在哪里引入了MayRunAs：

在其他组策略中添加“MayRunAs”值。这种策略 允许为 FSGroupStrategy 定义一定范围的 GID 和 PSP 中的补充组策略。

这种新策略的工作方式类似于“MustRunAs”策略，不同之处在于 如果在 pod/container 安全上下文中没有指定 GID，则没有 为各个容器生成 GID。

这里是Realease Notes：

PodSecurityPolicy 对象现在支持 MayRunAs 规则用于 fsGroup 和 supplementalGroups 选项。这允许为 pod/容器指定允许的 GID 范围，而无需像 MustRunAs 那样强制使用默认 GID。这意味着如果没有明确指定，应用此类策略的容器将不会使用任何 fsGroup/supplementalGroup GID，但指定的 GID 仍必须在根据策略的 GID 范围内。

对于容器定义中未指定 GID 的两种情况：

• MustRunAs 将设置为默认值（最小）
• MayRunAs 不会被设置为默认值。