Pod güvenlik bağlamı (securityContext), Kubernetes manifestosunda bir konteynerin hangi kullanıcı kimliğiyle çalışacağını, hangi çekirdek yeteneklerine sahip olacağını ve dosya sistemine nasıl eriştiğini belirleyen alanların tümüdür. İki seviyede tanımlanır: pod düzeyinde yazılan ayarlar içindeki tüm konteynerlere uygulanırken, konteyner düzeyindeki ayarlar yalnızca ilgili konteyneri etkiler ve çakışma durumunda pod düzeyini geçersiz kılar.

Pod güvenlik bağlamı, bir konteynerin çalışma zamanında ne kadar ayrıcalıkla ve hangi kimlikle koşacağını manifest içinde deklaratif olarak sabitleyen ayar kümesidir.

Hangi Alanları Kontrol Eder?

Alanların büyük kısmı doğrudan Linux çekirdeğinin izolasyon mekanizmalarına karşılık gelir. runAsUser ve runAsGroup, sürecin çalışacağı UID/GID değerini sabitler; böylece imaj varsayılan olarak root ile başlasa bile sürecin ayrıcalıksız bir kullanıcıya düşürülmesi mümkün olur. runAsNonRoot alanı ise UID 0 ile başlatılan bir konteynerin daha kubelet aşamasında reddedilmesini sağlar.

• runAsNonRoot: true — sürecin root olarak başlamasını engeller
• allowPrivilegeEscalation: false — setuid ikili dosyalarla yetki yükseltmeyi kapatır
• readOnlyRootFilesystem: true — kök dosya sistemini salt okunur yapar
• capabilities.drop: [ALL] — tüm çekirdek yeteneklerini düşürüp yalnızca gerekenleri geri ekler
• seccompProfile: RuntimeDefault — sistem çağrılarını varsayılan filtreyle sınırlar

Neden Kritik Bir Ayar?

Varsayılan bir konteyner çoğu zaman root olarak ve gereğinden fazla çekirdek yeteneğiyle çalışır. Bu durumda uygulama katmanında elde edilen bir kod çalıştırma açığı, hızla düğüm üzerinde etki alanı geniş bir erişime dönüşebilir. securityContext ayarları tam da bu noktada devreye girer ve bir saldırının konteyner sınırının ötesine geçmesini zorlaştırır. En az yetki mantığını konteyner seviyesine indirmek, ihlal yüzeyini daraltmanın en somut yollarından biridir; bu yaklaşımın genel çerçevesi için En az yetki ilkesi başlığına bakılabilir.

Özellikle privileged: true ve hostPath gibi ayarlar, saldırganın host çekirdeğine veya düğüm dosya sistemine ulaşması için elverişli zemin hazırlar. Yanlış yapılandırılmış bir güvenlik bağlamı, Konteynerden kaçış senaryolarının en sık görülen tetikleyicisidir; ayrıcalıklı bir kap ele geçirildiğinde host üzerindeki diğer iş yükleri de risk altına girer.

Kümenin Geneline Yayma

Tek tek manifestlere güvenmek uzun vadede tutarsızlık üretir; bu yüzden securityContext kuralları küme genelinde zorlanır. Kubernetes’in yerleşik Pod Security Admission mekanizması namespace’lere baseline veya restricted seviyeleri atayarak kuralı ihlal eden pod’ların kabulünü engeller. Daha ayrıntılı politikalar için OPA Gatekeeper ya da Kyverno gibi kabul denetleyicileri kullanılır. Bu katmanların tümü, daha geniş Kubernetes güvenliği ve Konteyner güvenliği uygulamalarının bir parçası olarak birbirini tamamlar.

Uygulamada en sık karşılaşılan hata, geliştirme kolaylığı için root ve geniş yeteneklerle çalışan imajların üretime taşınmasıdır. Bir mimari inceleme sırasında ekiplerin securityContext varsayılanlarını, admission politikalarını ve ayrıcalıklı pod envanterini birlikte gözden geçirmesi önerilir; Privia Security’nin altyapı ve mimari gözden geçirme çalışmalarında bu ayarlar küme sertleştirmesinin ilk durağıdır.