Kubernetes中与docker --privileged功能等效的配置是什么？

等效docker --privileged的Kubernetes配置 #

Kubernetes中通过容器级别的securityContext.privileged字段实现和docker run --privileged完全一致的特权能力，开启后容器可直接修改core_pattern等内核参数，以TDengine集群常用的StatefulSet部署为例，配置示例如下：

apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: tdengine
spec:
  serviceName: "tdengine"
  replicas: 3
  selector:
    matchLabels:
      app: tdengine
  template:
    metadata:
      labels:
        app: tdengine
    spec:
      containers:
      - name: tdengine
        image: tdengine/tdengine:latest
        ports:
        - containerPort: 6030
          name: tcp
        securityContext:
          privileged: true # 等效docker --privileged参数
        volumeMounts:
        - name: coredump-path
          mountPath: /var/coredump
  volumeClaimTemplates:
  - metadata:
      name: coredump-path
    spec:
      accessModes: [ "ReadWriteOnce" ]
      resources:
        requests:
          storage: 10Gi

更低权限的替代方案 #

完全特权模式安全风险较高，仅修改core_pattern只需给容器添加SYS_ADMINCapability即可满足需求，无需开启全量特权，配置替换为：

securityContext:
  capabilities:
    add:
    - SYS_ADMIN

额外注意事项 #

• 如果需要集群所有节点统一coredump生成规则，可以提前通过DaemonSet修改所有宿主机的/proc/sys/kernel/core_pattern参数，容器内会默认继承该配置，无需单独给容器加特权。
• 建议将coredump存储路径挂载到持久化卷或emptyDir，避免容器重启后coredump文件丢失。
• 生产环境优先使用添加指定Capability的方案，避免容器拥有过高权限带来安全隐患。

内容的提问来源于stack exchange，提问作者zitsen