cruise/k-rail

k-rail Docker镜像文档

镜像概述

k-rail是Kubernetes的工作负载策略执行工具，旨在帮助用户安全管理多租户集群，实现最小干扰和最大部署速度的策略实施。

注意：k-rail项目已被弃用，除关键安全漏洞外不再接收新功能或 bug 修复。建议迁移至活跃开发的工具，如https://github.com/open-policy-agent/gatekeeper%E3%80%82

核心功能与特性

• 被动报告模式：可在不阻断工作负载的情况下运行策略，收集违规数据
• 结构化违规日志：JSON格式日志便于分析和仪表盘展示，包含策略名称、资源信息、用户等关键数据
• 灵活策略豁免：支持按集群、资源名称、命名空间、用户组和用户配置豁免规则
• 实时交互反馈：为工程师提供资源应用时的即时策略违规提示
• 丰富内置策略：覆盖容器安全、网络配置、存储限制等多维度策略

使用场景与适用范围

• 新集群部署：直接以执行模式运行所需策略，按需添加豁免
• 现有集群迁移：先以监控模式运行数周，收集违规数据并配置豁免后，再启用执行模式，避免中断现有工作负载
• 多租户集群安全：限制危险功能（如特权容器、主机网络），防止权限升级和资源滥用

安装与部署

使用Helm安装

bash
# 添加Helm仓库
helm repo add k-rail https://cruise-automation.github.io/k-rail/
helm repo update

# 创建命名空间
kubectl create namespace k-rail
kubectl label namespace k-rail k-rail/ignore=true

# 安装k-rail
helm install k-rail k-rail/k-rail --namespace k-rail

Helm 2及以下版本

bash
helm template --namespace k-rail charts/k-rail | kubectl apply -f -

验证安装

应用非合规部署测试默认配置：

bash
kubectl apply --namespace default -f examples/non-compliant-deployment.yaml

策略违规查看方式

实时反馈

应用资源时直接显示违规信息：

bash
$ kubectl apply -f examples/non-compliant-deployment.yaml
Error from server (k-rail): error when creating "examples/non-compliant-deployment.yaml": admission webhook "k-rail.cruise-automation.github.com" denied the request:
Deployment bad-deployment had violation: Host Bind Mounts: host bind mounts are forbidden
...

Events API

通过Kubernetes Events查看近期违规：

bash
kubectl get events --namespace default

日志

结构化JSON日志包含详细违规信息：

bash
kubectl logs --namespace k-rail --selector name=k-rail | jq '.'

示例日志：

json
{
  "enforced": true,
  "kind": "Deployment",
  "namespace": "default",
  "policy": "pod_no_host_network",
  "resource": "evil-deployment",
  "time": "2019-10-23T19:54:24Z",
  "user": "dustin.decker@getcruise.com"
}

支持的策略

基础安全策略

• No ShareProcessNamespace：禁止Pod共享进程命名空间，防止容器间未授权访问
• No Exec：阻止用户exec进入运行中的Pod（可配置报告/执行模式）
• No Bind Mounts：禁止主机路径绑定挂载，防止数据泄露和权限升级
• No Docker Sock Mount：禁止挂载Docker socket，防止主机Docker daemon控制
• No Root User：禁止以root用户运行容器，要求显式设置非root用户
• No Host Network：禁止使用主机网络，防止网络流量捕获和元数据API访问
• No Host PID：禁止使用主机PID命名空间，防止进程环境变量和内存 inspection
• No New Capabilities：禁止添加额外内核能力，防止权限升级
• No Privileged Container：禁止特权容器，避免获取全部能力和绕过cgroup限制

镜像与存储策略

• Immutable Image Reference：要求镜像引用包含sha256摘要，确保镜像不可变
• EmptyDir size limit：设置emptyDir默认大小限制并检查最大限制

  yaml
  policy_config:
    mutate_empty_dir_size_limit:
      maximum_size_limit: "1Gi"
      default_size_limit: "512Mi"
  

• Mutate Image Pull Policy：按镜像匹配规则设置ImagePullPolicy

  yaml
  policy_config:
    mutate_image_pull_policy:
      IfNotPresent: 
        - '^gcr.io/repo/image1.*'
      Always:
        - '^gcr.io/private-repo/secretimage.*'
  

• Trusted Image Repository：限制镜像源为可信仓库

  yaml
  policy_config:
    policy_trusted_repository_regexes:
      - '^gcr.io/some-gcr-repo/.*'
      - '^k8s.gcr.io/.*'
  

网络与Ingress策略

• Require Ingress Exemption：要求特定Ingress类必须有豁免才能使用

  yaml
  policy_config:
    policy_require_ingress_exemption_classes:
      - nginx-public
  

• Unique Ingress Host：确保Ingress主机在集群命名空间间唯一，防止冲突
• Service type Load* annotation check**：验证Load***服务的注解合法性

  yaml
  policy_config:
    policy_require_service_loadbalancer_annotations:
      - annotations:
          - "cloud.google.com/load-balancer-type"
        allowed_values:
          - internal
          - external
        allow_missing: false
  

• Istio VirtualService Gateways check：限制Istio VirtualService使用允许的网关

  yaml
  policy_config:
    policy_require_virtualservice_gateways:
      allowed_gateways:
        - "istio-system/internal-gateway"
        - "mesh"
      allow_empty_gateways: true
  

其他策略

• Mutate Default Seccomp Profile：为无seccomp配置的Pod设置默认seccomp profile

  yaml
  policy_config:
    policy_default_seccomp_policy: "runtime/default"
  

• Mutate Safe to Evict：为使用hostPath/emptyDir的Pod自动添加安全驱逐注解
• No Persistent Volume Host Path：禁止PersistentVolume使用主机路径
• No Anonymous Role Binding：禁止为***用户创建角色绑定
• Protect CRD From Accidental Deletion：防止删除有子资源的CRD（需添加注解k-rail.crd.protect: enabled）

配置说明

操作模式

• 全局报告模式：所有策略仅报告违规不阻断资源创建
• 策略模式：可针对单个策略配置report_only: true/false

策略豁免

通过配置文件定义豁免规则：

yaml
- cluster_name: paas-ci-us-west1
  resource_name: "*"
  namespace: "cluster-conformance-testing"
  username: "cluster-ci@paas-ci.iam.gserviceaccount.com"
  group: "*"
  exempt_policies:
    - "pod_no_privileged_containers"
    - "pod_no_bind_mounts"

移除方法

Helm安装方式

bash
helm uninstall k-rail --namespace k-rail

Helm模板方式

bash
helm template --namespace k-rail charts/k-rail | kubectl delete -f -

调试

资源超时事件

• 检查kube-apiserver日志
• 查看Webhook延迟和状态码指标

策略不触发

• 检查策略是否启用
• 验证资源是否符合策略触发条件
• 确认是否存在适用的豁免规则

证书过期检查

检查mTLS证书过期时间，确保Webhook正常通信

许可证

https://github.com/cruise-automation/k-rail/blob/master/LICENSE