Kubernetes 1.25+中DinD的securityContext.privileged: true替代方案咨询

核心前提 #

你用的是docker:23.0.1-dind-rootless镜像，rootless模式的DIND完全不需要privileged: true权限——之前的配置是冗余且不符合安全规范的。我们可以通过配置最小必要的安全上下文和环境变量，既满足K8s 1.25+的安全要求，又完全保留原有的镜像构建功能。

修改后的Pod配置 #

apiVersion: v1
kind: Pod
metadata:
  name: dind-rootless
spec:
  containers:
    - name: build
      image: docker:23.0.1-cli
      command: ["cat"]
      tty: true
      resources:
        requests:
          cpu: 10m
          memory: 256Mi
      env:
        - name: DOCKER_HOST
          value: tcp://localhost:2375
        # 适配rootless CLI的配置路径
        - name: DOCKER_CONFIG
          value: /tmp/.docker

    - name: dind-daemon
      image: docker:23.0.1-dind-rootless
      securityContext:
        # 移除privileged，添加rootless DIND必需的最小能力
        capabilities:
          add: ["NET_ADMIN", "SYS_ADMIN"]
        # 强制以非root用户运行（rootless镜像默认已配置）
        runAsNonRoot: true
        allowPrivilegeEscalation: true
      resources:
        requests:
          cpu: 20m
          memory: 512Mi
      env:
        # 禁用TLS（和原配置保持一致，需加密可保留默认值）
        - name: DOCKER_TLS_CERTDIR
          value: ""
        # 指定rootless网络驱动，实现容器网络隔离
        - name: ROOTLESSKIT_PORT_DRIVER
          value: slirp4netns
      volumeMounts:
        - name: docker-graph-storage
          mountPath: /var/lib/docker
        # 挂载主机用户信息卷，解决rootless用户ID映射问题
        - name: passwd
          mountPath: /etc/passwd
          readOnly: true
        - name: group
          mountPath: /etc/group
          readOnly: true
  volumes:
    - name: docker-graph-storage
      emptyDir: {}
    - name: passwd
      hostPath:
        path: /etc/passwd
    - name: group
      hostPath:
        path: /etc/group

关键修改说明 #

1. 移除privileged: true：rootless DIND通过用户命名空间（user namespace）实现无特权虚拟化，不需要主机级别的特权权限，从根源上规避了弃用风险。
2. 添加最小权限Capabilities：NET_ADMIN和SYS_ADMIN是rootless容器实现网络、文件系统虚拟化的必需权限，相比privileged缩小了权限范围，更安全。
3. 配置rootless专属环境变量：
   • DOCKER_TLS_CERTDIR: ""：和原配置保持一致，禁用TLS连接（如果需要加密通信，可删除此变量使用默认TLS配置）
   • ROOTLESSKIT_PORT_DRIVER: slirp4netns：指定rootless网络驱动，确保容器网络能正常工作
4. 挂载主机用户信息卷：解决rootless容器内用户ID与主机不匹配导致的权限错误问题。

功能验证步骤 #

1. 启动Pod后，进入build容器：

   kubectl exec -it dind-rootless -c build -- sh
   

2. 测试Docker连接：

   docker info
   

   正常情况下会返回dind-daemon的系统信息，证明连接成功。
3. 尝试构建镜像：
   挂载代码卷后，执行docker build -t test-image .即可完成镜像构建，功能和原配置完全一致。

可选安全优化 #

• 如果集群启用了Pod Security Standards（PSS），可根据集群策略调整配置，使其符合baseline或privileged标准
• 用PersistentVolumeClaim替代emptyDir存储镜像数据，避免Pod重启后镜像丢失
• 进一步限制Capabilities范围，仅保留实际需要的权限

内容的提问来源于stack exchange，提问作者Gabriel