k7安全机制深度解析：非root执行与Linux capabilities控制

【免费下载链接】k7Your own self-hosted infra for lightweight VM sandboxes to safely execute untrusted code. CLI, API, Python SDK. ⭐ Star it if you like it! ⭐项目地址: https://gitcode.com/gh_mirrors/k72/k7

k7作为一款轻量级虚拟机沙箱自托管基础设施，专为安全执行不受信任代码而设计，提供了CLI、API和Python SDK等多种使用方式。其核心安全机制围绕非root执行与Linux capabilities控制展开，为用户打造了一个可靠的代码执行环境。

非root执行：从根本上降低安全风险

在k7的安全架构中，非root执行是重要的一环。它通过两个关键标志来实现：pod_non_root和container_non_root。pod_non_root（默认值为false）能让Pod以非root用户（UID/GID/FSGroup 65532）运行，并应用Pod范围内的文件系统所有权；container_non_root（默认值为false）则使主容器以非root用户（UID 65532）运行，并禁止权限提升。

启用这两个标志可以获得一致的非root行为，减少写入卷时的权限问题。不过，有些包管理器（如Alpine的apk add）需要root权限。遇到这种情况，有几种解决办法：一是在before_script中使用已包含所需工具的基础镜像；二是在设置阶段暂时让主容器以root身份运行，即不启用container_non_root；三是构建预安装依赖的自定义镜像，这也是生产环境推荐的做法，能保证可重现性。

以下是一个非root执行的示例配置：

{ "name": "nr-example", "image": "alpine:latest", "pod_non_root": true, "container_non_root": true }

Linux capabilities控制：精细化权限管理

k7的默认策略是删除所有Linux capabilities，只添加必要的部分。如果显式指定cap_drop，会覆盖默认设置；若要保持“删除所有”并添加最小权限，只需使用cap_add而不设置cap_drop。

cap_drop用于指定要删除的capabilities，若省略，则默认删除所有；cap_add用于添加回需要的capabilities；allow_privilege_escalation始终设为false；Seccomp配置文件采用RuntimeDefault。

常见capabilities需求场景

当在before_script或容器执行过程中遇到权限错误时，可能需要添加特定的capabilities。以下是一些常见场景及对应的配置示例：

包管理器（apt-get、yum、dnf）：

{ "name": "install-packages", "image": "ubuntu:22.04", "cap_add": ["SETUID", "SETGID", "CHOWN", "DAC_OVERRIDE"], "before_script": "apt-get update && apt-get install -y git curl" }

其中，SETUID/SETGID是包管理器在安装过程中降低权限所必需的；CHOWN用于在包安装期间更改文件所有权；DAC_OVERRIDE允许绕过文件权限检查，这在安装包时是需要的。

Alpine包管理器（apk）：

{ "name": "alpine-packages", "image": "alpine:latest", "cap_add": ["SETUID", "SETGID", "CHOWN"], "before_script": "apk add --no-cache git curl" }

需要更改所有权的文件操作：

{ "name": "file-ops", "image": "alpine:latest", "cap_add": ["CHOWN", "FOWNER"], "before_script": "chown -R user:group /some/path" }

网络操作（原始套接字、数据包捕获）：

{ "name": "network-tools", "image": "alpine:latest", "cap_add": ["NET_RAW", "NET_ADMIN"] }

需要注意的是，添加NET_RAW或NET_ADMIN会显著降低隔离性，只有在进行网络调试或使用专业工具等绝对必要的情况下才使用。

最佳实践是预构建安装了依赖的自定义镜像，而不是在运行时安装包，这样可以提高安全性、可重现性和启动时间。

总结

k7通过非root执行和Linux capabilities控制这两项核心安全机制，为用户提供了一个安全可靠的轻量级虚拟机沙箱环境。非root执行从根本上降低了安全风险，而Linux capabilities控制则实现了精细化的权限管理。在使用k7时，遵循相关的安全配置建议，能更好地保障代码执行的安全性。详细的安全配置可参考docs/api/security.mdx。

通过合理配置非root执行和Linux capabilities，用户可以在k7中安全地运行各种不受信任的代码，满足不同场景下的需求。无论是开发测试还是生产环境，k7的安全机制都能为用户提供有力的保障。

【免费下载链接】k7Your own self-hosted infra for lightweight VM sandboxes to safely execute untrusted code. CLI, API, Python SDK. ⭐ Star it if you like it! ⭐项目地址: https://gitcode.com/gh_mirrors/k72/k7