k8s (in)security

"Forensic container checkpointing in Kubernetes" - еще одна замечательная блоговая запись о новой фичи Kubernetes в официальном блоге. О данной фичи мы уже писали [1,2,3], но на всякий случай напомню, что она:
- Базируется на Checkpoint/Restore In Userspace (CRIU)
- Появилась в alpha статусе в Kubernetes v1.25
- Требуется включение ContainerCheckpoint gate на API server
- Требуется поддержка на стороне Container Runtime (В CRI-O уже есть, в containerd еще обсуждается)
- Для создания checkpoint требуется обращение к kubelet c Node
- Цепочка вызовов kubelet -> High-level runtime - > Low-level runtime - > criu
- Результат работы сохраняется в /var/lib/kubelet/checkpoints/checkpoint-<pod-name>_<namespace-name>-<container-name>-<timestamp>.tar
- Полученный Checkpoint можно восстановить как в Kubernetes, так и за его пределами


Возможность очень интересная и полезная, но еще очень сырая ...

www.tgoop.com/k8security/735

3.2K viewsДмитрий Евдокимов, edited  Dec 7, 2022 at 06:18

"Forensic container checkpointing in Kubernetes" - еще одна замечательная блоговая запись о новой фичи Kubernetes в официальном блоге. О данной фичи мы уже писали [1,2,3], но на всякий случай напомню, что она:
- Базируется на Checkpoint/Restore In Userspace (CRIU)
- Появилась в alpha статусе в Kubernetes v1.25
- Требуется включение ContainerCheckpoint gate на API server
- Требуется поддержка на стороне Container Runtime (В CRI-O уже есть, в containerd еще обсуждается)
- Для создания checkpoint требуется обращение к kubelet c Node
- Цепочка вызовов kubelet -> High-level runtime - > Low-level runtime - > criu
- Результат работы сохраняется в /var/lib/kubelet/checkpoints/checkpoint-<pod-name>_<namespace-name>-<container-name>-<timestamp>.tar
- Полученный Checkpoint можно восстановить как в Kubernetes, так и за его пределами


Возможность очень интересная и полезная, но еще очень сырая ...

BY k8s (in)security