Выбор ответа Senior Безопасность контейнеров обновлено
no-new-privileges
Вопрос
Что даёт опция --security-opt no-new-privileges?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Процесс и потомки не могут получить больше прав, например через SUID. Флаг ядра nonewprivs делает SUID и SGID бинарники и file capabilities неэффективными: sudo или SUID-утилита внутри контейнера не поднимут права.
Варианты ответа
- Запрещает процессу менять рабочий каталог и монтировать файловые системы
- Отключает сетевой стек контейнера, оставляя только loopback-интерфейс
- Запрещает процессу порождать новые процессы через
forkиexec - Процесс и потомки не могут получить больше прав, например через SUIDправильный ответ
Разбор
Флаг ядра no_new_privs делает SUID и SGID бинарники и file capabilities неэффективными: sudo или SUID-утилита внутри контейнера не поднимут права. Запуск процессов и сеть не затрагиваются, для ограничения числа процессов есть --pids-limit. В Kubernetes это allowPrivilegeEscalation: false.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.