檢視次數:
配置檔適用性：第 1 級
通常不允許容器以 hostIPC 標誌設置為 true 運行。
在主機的 IPC 命名空間中運行的容器可以使用 IPC 與容器外部的進程進行交互。
應至少定義一個不允許容器共享主機 IPC 命名空間的入場控制政策。
如果您需要運行需要 hostIPC 的容器，則應在單獨的政策中定義此項，並且您應仔細檢查以確保只有有限的服務帳戶和用戶被授予使用該政策的權限。
注意
注意
預設情況下，對於 hostIPC 容器的創建沒有任何限制。

影響

定義為 spec.hostIPC: true 的 Pods 將不被允許，除非它們在特定政策下運行。

審計

列出叢集中每個命名空間中使用的政策，確保每項政策都不允許 hostIPC 容器的入境。
在 YAML 輸出中，請在 spec 區段中查找 hostIPC 設定，以檢查其是否設置為 true。
選項 1
kubectl get pods --all-namespaces -o json | jq -r '.items[] |
select(.spec.hostIPC == true) |
"\(.metadata.namespace)/\(.metadata.name)"'
選項 2
kubectl get pods --all-namespaces -o json | jq '.items[] |
select(.metadata.namespace != "kube-system" and .spec.hostIPC == true)
| {pod: .metadata.name, namespace: .metadata.namespace, container:
.spec.containers[].name}'
在創建 Pod 安全政策時，預設會排除 ["kube-system"] 命名空間。
此命令以 JSON 格式檢索所有命名空間中的所有 pod，然後使用 jq 過濾出 hostIPC 標誌設置為 true 的 pod，最後格式化輸出以顯示每個匹配 pod 的命名空間和名稱。

補救

在集群中每個具有用戶工作負載的命名空間中添加策略，以限制 hostIPC 容器的入場。