如何满足AKS Advisor“应避免以root用户运行容器”的建议

配置未生效的排查与调整方案 #

你目前仅在Pod级securityContext中配置了runAsNonRoot: true，存在多个常见遗漏项，可按以下步骤逐一调整：

1. 补充缺失的安全上下文配置 #

Pod级的安全上下文是全局默认值，会被容器级的同配置覆盖，AKS Advisor的扫描规则要求容器级也显式声明非root运行相关配置，完整参考配置如下：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-service
  namespace: my-namespace
spec:
  replicas: 1
  template:
    spec:
      # Pod级安全上下文，作为所有容器的默认配置
      securityContext:
        runAsNonRoot: true
        # 显式指定非root用户ID，避免镜像默认使用root用户
        runAsUser: 1000
        runAsGroup: 1000
        fsGroup: 1000
      containers:
      - name: 你的容器名称
        image: 你的镜像地址
        # 容器级安全上下文，必须显式声明，优先级高于Pod级配置
        securityContext:
          runAsNonRoot: true
          runAsUser: 1000
          # 禁止权限提升为root，是满足扫描规则的必要项
          allowPrivilegeEscalation: false
          # 丢弃所有不必要的Linux权限，进一步符合安全要求
          capabilities:
            drop:
            - ALL

2. 确认容器镜像支持非root运行 #

如果镜像的Dockerfile中没有通过USER指令指定非root用户，即使配置了上述规则，Pod也会启动失败，或者扫描规则检测到镜像默认用户为root仍会触发告警。你需要修改Dockerfile添加非root用户配置，示例如下：

# 构建阶段省略，以下为运行阶段配置
RUN groupadd -r appgroup && useradd -r -g appgroup appuser
# 切换为非root用户运行
USER appuser

3. 验证配置已实际生效 #

完成配置更新后，需确认Deployment已触发滚动更新，新的Pod确实使用非root用户运行：

• 执行kubectl get pod <运行中的Pod名称> -o yaml | grep runAsNonRoot，确认配置已注入Pod
• 执行kubectl exec <运行中的Pod名称> -- id，确认返回的用户ID不是0（root的UID固定为0）

4. 等待扫描规则更新 #

如果所有配置都已正确生效，AKS Advisor的告警存在最长24小时的扫描延迟，等待下一次全量扫描完成后告警会自动消除。

内容的提问来源于stack exchange，提问作者sl3dg3