k7沙箱创建与配置：从YAML文件到高级安全策略

【免费下载链接】k7Your own self-hosted infra for lightweight VM sandboxes to safely execute untrusted code. CLI, API, Python SDK. ⭐ Star it if you like it! ⭐项目地址: https://gitcode.com/gh_mirrors/k72/k7

k7是一款强大的自托管轻量级VM沙箱基础设施，专为安全执行不受信任代码而设计，提供CLI、API和Python SDK等多种使用方式。本文将详细介绍如何从YAML文件开始创建k7沙箱，并深入探讨高级安全策略的配置方法，帮助新手和普通用户轻松掌握k7沙箱的使用。

准备工作：获取k7项目

要开始使用k7沙箱，首先需要获取k7项目。你可以通过克隆仓库的方式获取，仓库地址为：https://gitcode.com/gh_mirrors/k72/k7。克隆完成后，进入项目目录，即可开始后续的沙箱创建与配置工作。

YAML文件：沙箱创建的基础

YAML文件是k7沙箱创建的核心配置文件，它定义了沙箱的各种属性和参数。在k7项目中，提供了示例YAML文件，位于examples/k7.yaml。下面是一个简单的示例：

name: demo image: alpine:3.20 namespace: default limits: cpu: "100m" memory: "128Mi" before_script: | # Installing curl. Egress open during before_script, then restricted (empty whitelist) afterwards apk add curl egress_whitelist: []

这个示例定义了一个名为“demo”的沙箱，使用alpine:3.20镜像，位于default命名空间，CPU限制为100m，内存限制为128Mi，在启动前执行安装curl的脚本，并且没有设置出口白名单。

YAML配置项详解

在k7的YAML配置文件中，有许多重要的配置项，下面为你详细介绍：

• name(string, required)：沙箱的唯一名称。
• image(string, required)：容器镜像，例如alpine:latest。
• namespace(string, defaultdefault)：Kubernetes命名空间。
• env_file(string, optional)：主机节点上环境文件的（绝对）路径。
• egress_whitelist(array of CIDR strings, optional)：允许的出口IP，例如"1.1.1.1/32"表示单个主机，"10.0.0.0/8"表示范围。
• limits(object, optional)：资源限制，包括cpu（如"1"或"500m"）、memory（如"1Gi"、"512Mi"）、ephemeral-storage（如"2Gi"）。
• before_script(string, optional)：容器启动时运行一次的shell脚本，运行时出口开放，就绪状态会等待其完成。
• pod_non_root(boolean, optional)：以非root用户（UID/GID/FSGroup 65532）运行Pod。
• container_non_root(boolean, optional)：以非root用户（UID 65532）运行容器，不允许权限提升。
• cap_add(string[], optional)：添加回Linux capabilities（默认策略删除所有）。
• cap_drop(string[], optional)：覆盖删除策略，如果省略，默认删除所有。

创建沙箱：简单高效的方法

创建k7沙箱有多种方法，既可以使用YAML文件，也可以通过命令行参数直接创建。

使用YAML文件创建

使用YAML文件创建沙箱是最常用的方法，只需执行以下命令：

k7 create -f k7.yaml

其中，k7.yaml是你的配置文件路径。如果不指定-f参数，默认会使用当前目录下的k7.yaml文件。

使用命令行参数创建

除了使用YAML文件，你还可以通过命令行参数直接创建沙箱，例如：

k7 create --name my-sb --image alpine:latest \ --cpu 1 --memory 1Gi --storage 2Gi \ --env-file .env --egress 10.0.0.5/32 \ --before-script "apk add curl"

这条命令创建了一个名为my-sb的沙箱，使用alpine:latest镜像，CPU限制为1核，内存限制为1Gi，存储限制为2Gi，指定了环境文件.env，出口白名单为10.0.0.5/32，启动前执行安装curl的脚本。

创建沙箱后，你可以通过k7 list命令查看沙箱列表，了解沙箱的状态、就绪情况、重启次数、运行时间和镜像等信息。

高级安全策略：保障沙箱安全

k7沙箱提供了多种高级安全策略，帮助你保障沙箱的安全运行。

出口白名单配置

出口白名单是控制沙箱网络访问的重要安全策略。通过配置egress_whitelist，你可以限制沙箱只能访问特定的IP地址或IP范围。例如：

egress_whitelist: - "10.0.0.5/32" # Private egress proxy/gateway

需要注意的是，不要将公共DNS解析器（如1.1.1.1、8.8.8.8）加入白名单，这样会重新启用DNS数据泄露（UDP/TCP 53和DoH over 443）。最好只白名单你自己的出口代理IP，并在代理处实施DNS/DoH策略。

非root用户运行

k7支持以非root用户运行Pod和容器，提高沙箱的安全性。你可以通过设置pod_non_root和container_non_root参数来实现：

pod_non_root: true container_non_root: true

当设置为true时，Pod将以UID/GID/FSGroup 65532运行，容器将以UID 65532运行，且不允许权限提升。但需要注意，如果在before_script中使用需要root权限的包管理器（如apk add、apt-get install），则需要确保没有添加阻止它的安全策略，如以非root用户运行pod或容器。

Linux capabilities管理

默认情况下，k7会删除所有Linux capabilities，以减少沙箱的权限。你可以通过cap_add和cap_drop参数来添加或删除特定的capabilities：

cap_add: - CHOWN cap_drop: - NET_RAW

这样，沙箱将添加CHOWN capability，同时删除NET_RAW capability。

总结

通过本文的介绍，你已经了解了如何从YAML文件开始创建k7沙箱，以及如何配置高级安全策略来保障沙箱的安全运行。k7沙箱提供了灵活的配置方式和强大的安全功能，能够满足不同场景下安全执行代码的需求。希望本文对你使用k7沙箱有所帮助，如果你有任何问题，可以查阅官方文档docs/获取更多信息。

【免费下载链接】k7Your own self-hosted infra for lightweight VM sandboxes to safely execute untrusted code. CLI, API, Python SDK. ⭐ Star it if you like it! ⭐项目地址: https://gitcode.com/gh_mirrors/k72/k7