From fe0b8d7425fb59c9d6cfa5f8aeceae66f22b2b03 Mon Sep 17 00:00:00 2001 From: xdavidwu Date: Thu, 30 Jul 2020 02:09:07 +0800 Subject: [PATCH] healthy-k8s: fix comma style --- _posts/2020-07-29-healthy-k8s.md | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git a/_posts/2020-07-29-healthy-k8s.md b/_posts/2020-07-29-healthy-k8s.md index c8bf990..116c089 100644 --- a/_posts/2020-07-29-healthy-k8s.md +++ b/_posts/2020-07-29-healthy-k8s.md @@ -86,7 +86,7 @@ gid_mappings = "0:10000000:65536" 設 10000000 開始是因為我在一些機器上有做 lxc containers 也有 user namespacing 需求, 是手動每個 containers 都錯開分配的, 用量頗多, 所以我抓了一個我覺得夠高不會撞到又好記的 10000000 -我 crio 的 user 還是 root, 但其實 crio 有環境變數可以打開 unprivileged mode `_CRIO_ROOTLESS`, 但如果要配合 user namespacing 就得取消 Debian 加的預防措施 `kernel.unprivileged_userns_clone`, 考量到 user namespacing 早期跟其他東西配合曾出現不少 privilege escalation, 雖然現在都修了並且瀏覽器的 sandboxing 也都開始利用 unprivileged user namespacing, 有些環境可能還是不怎麼需要開放，這裡我選擇留在 privileged user namespacing +我 crio 的 user 還是 root, 但其實 crio 有環境變數可以打開 unprivileged mode `_CRIO_ROOTLESS`, 但如果要配合 user namespacing 就得取消 Debian 加的預防措施 `kernel.unprivileged_userns_clone`, 考量到 user namespacing 早期跟其他東西配合曾出現不少 privilege escalation, 雖然現在都修了並且瀏覽器的 sandboxing 也都開始利用 unprivileged user namespacing, 有些環境可能還是不怎麼需要開放, 這裡我選擇留在 privileged user namespacing 注意此 privilege 並非 docker/k8s 指的 privilege -- 2.43.0