如何以root用户通过kubectl debug调试受安全策略约束的生产容器？

我们遵循最佳实践配置了严格的Pod安全上下文，配置如下：

spec:
  securityContext:
    runAsUser: <非0用户ID>
    privileged: false
  containers:
    securityContext:
      runAsNonRoot: true
      readOnlyRootFilesystem: true
      allowPrivilegeEscalation: false

该配置有效加固了生产容器，但调试时遇到权限问题：使用kubectl debug -it <target-container> --image=nicolaka/netshoot --profile=netadmin --target=<target-container> -- tcpdump命令验证网络连通性时，既出现违反PodSecurity基线策略的警告，又因调试容器以非root用户运行导致tcpdump无权限抓包，报错如下：

Warning: would violate PodSecurity "baseline:latest": non-default capabilities (containers "debugger-jb8sv", "debugger-zklnx", "debugger-mmt72", "debugger-gd8lt" must not include "NET_ADMIN", "NET_RAW" in securityContext.capabilities.add)
tcpdump: eth0: You don't have permission to perform this capture on that device
(socket: Operation not permitted)

由于kubectl 1.29暂不支持sysadmin profile，以下是兼顾安全标准与调试需求的可行方案：

方案一：临时指定调试容器的安全上下文（推荐临时调试） #

直接通过kubectl debug的--security-context参数手动指定调试容器以root运行并添加所需权限，完全不影响生产Pod配置：

kubectl debug -it <目标Pod名称> --image=nicolaka/netshoot --target=<目标容器名称> \
  --security-context='{"runAsUser": 0, "capabilities": {"add": ["NET_ADMIN", "NET_RAW"]}}' \
  -- tcpdump -i eth0

• 此操作仅针对临时调试Pod生效，调试完成后可立即删除该Pod，不会改变生产容器的安全策略
• 如果集群启用了PodSecurity准入控制，可临时为调试Pod添加豁免（例如通过命名空间的PodSecurity例外配置），确保命令正常执行

方案二：为生产容器添加最小必要权限（仅适用于频繁调试场景） #

若需要频繁调试，可在生产容器的安全上下文中添加tcpdump所需的最小权限NET_RAW（无需NET_ADMIN即可完成基础抓包），同时保留核心安全策略：

containers:
  securityContext:
    runAsNonRoot: true
    readOnlyRootFilesystem: true
    allowPrivilegeEscalation: false
    capabilities:
      add: ["NET_RAW"]

• 此修改会长期生效，建议仅在需要频繁调试的特定命名空间或Pod中使用，避免扩大权限范围

方案三：添加专用调试Sidecar容器（推荐长期调试场景） #

在生产Pod中添加一个休眠状态的Sidecar容器，仅用于调试，配置必要权限但限制资源使用：

spec:
  containers:
  - name: 主容器名称
    # 主容器原有配置
    securityContext:
      runAsNonRoot: true
      readOnlyRootFilesystem: true
      allowPrivilegeEscalation: false
  - name: debug-sidecar
    image: nicolaka/netshoot
    command: ["sleep", "infinity"]
    securityContext:
      runAsUser: 0
      capabilities:
        add: ["NET_ADMIN", "NET_RAW"]
    resources:
      limits:
        cpu: "0.1"
        memory: "64Mi"

需要调试时，进入该Sidecar容器执行tcpdump：

kubectl exec -it <目标Pod名称> -c debug-sidecar -- tcpdump -i eth0

• 主容器的安全策略完全不受影响，调试权限被隔离在Sidecar中
• 可通过资源限制避免调试容器占用过多集群资源

内容的提问来源于stack exchange，提问作者SystemFailure