如何在Nextflow的Kubernetes执行器中禁用特权容器执行

问题分析 #

在共享Kubernetes集群中使用Nextflow Kubernetes执行器时，准入webhook因容器以特权模式运行而拦截请求，错误提示如下：

job-controller  Error creating: admission webhook "validation.gatekeeper.sh" denied the request: 
[psp-privileged-container] Privileged container is not allowed: nf-f48d29c6300b8f61af05447de0072d69, 
securityContext: {"privileged": true}

此前配置k8s.securityContext.privileged=false无效，是因为该配置对应Pod级别的安全上下文，而容器的特权模式是在容器级别的securityContext中定义的，Nextflow默认会给容器设置privileged=true，需要针对性配置。

正确配置方式 #

方式1：使用容器级安全上下文配置项 #

Nextflow提供了k8s.containerSecurityContext专门用于配置容器级的安全参数，直接在nextflow.config中添加：

// Kubernetes 配置
process.executor = 'k8s'
k8s.namespace = 'mynamespace'
k8s.computeResourceType = 'Job'
// 容器级别安全上下文设置
k8s.containerSecurityContext.privileged = false
k8s.containerSecurityContext.allowPrivilegeEscalation = false

方式2：自定义Pod模板 #

如果需要更灵活的Pod配置，可以直接定义完整的Pod模板，明确指定容器的securityContext：

// Kubernetes 配置
process.executor = 'k8s'
k8s.namespace = 'mynamespace'
k8s.computeResourceType = 'Job'

// 自定义Pod模板
process.podTemplate = """
apiVersion: v1
kind: Pod
spec:
  containers:
  - name: nextflow
    securityContext:
      privileged: false
      allowPrivilegeEscalation: false
"""

验证 #

配置完成后重新运行工作流，查看生成的Job YAML，确认spec.template.spec.containers[0].securityContext.privileged已设置为false，即可通过准入webhook的验证。

内容的提问来源于stack exchange，提问作者David Parks