GCP K8s Autopilot环境下如何配置net.ipv4.ping_group_range实现ICMP Ping？

在Autopilot集群中，直接添加NET_RAW权限、容器级配置sysctl或启动命令修改sysctl都会受限于集群的安全管控，正确的实现方式如下：

1. 正确配置Pod级sysctl net.ipv4.ping_group_range #

Autopilot不允许在容器级的securityContext中设置sysctl，但支持在Pod级的securityContext中配置安全类sysctl（如net.ipv4.ping_group_range）。将sysctl配置移到Pod的securityContext下，而非容器的securityContext：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: ping-test
spec:
  replicas: 1
  selector:
    matchLabels:
      app: ping-test
  template:
    metadata:
      labels:
        app: ping-test
    spec:
      # Pod级securityContext，在这里配置sysctl
      securityContext:
        runAsNonRoot: true
        seccompProfile:
          type: RuntimeDefault
        sysctls:
        - name: net.ipv4.ping_group_range
          value: "0 200000000"
      containers:
      - name: ping-container
        image: alpine:latest
        command: ["/bin/sh"]
        args:
        - -c
        - ping 8.8.8.8

2. 关键说明 #

• Autopilot禁用了容器级sysctl配置，因此错误提示unknown field "spec.template.spec.containers[0].securityContext.sysctls"是因为配置位置错误，移到Pod级即可解决。
• net.ipv4.ping_group_range设置为0 200000000后，允许UID在0到200000000之间的用户发起ICMP请求，Autopilot默认的非root用户UID（如1000）在此范围内，无需额外调整用户ID。
• 无需添加NET_RAW权限：配置该sysctl后，非root用户可直接执行ping命令，不需要NET_RAW能力（Autopilot会阻止添加此能力）。
• 启动命令修改sysctl失败的原因是容器缺少CAP_SYS_ADMIN权限，Autopilot不会授予此权限，因此必须通过Pod级sysctl配置实现。

3. 验证方法 #

部署完成后，进入容器验证配置是否生效：

kubectl exec -it <pod-name> -- sh
# 检查sysctl配置
sysctl net.ipv4.ping_group_range
# 执行ping测试
ping 8.8.8.8

内容的提问来源于stack exchange，提问作者Mr J