应严格限制hostPath挂载，生产环境禁用；优先选用加密云存储PV，配合readOnly、最小UID/GID权限及tmpfs临时卷，禁用特权挂载与符号链接穿透。
选择合适的Docker卷挂载模式，本质是在控制容器对宿主机文件系统的访问粒度和权限边界。在Kubernetes中，虽然底层使用的是CRI（如containerd）而非直接调用Docker CLI，但卷挂载逻辑与Docker一致，且Kubernetes的PersistentVolume、VolumeMount和SecurityContext共同决定了最终挂载行为。防止节点级数据泄露，关键在于避免容器通过挂载“越界”读写宿主机敏感路径，同时确保卷内容本身不以明文形式长期落盘。
严格限制挂载源类型与范围
不要使用hostPath挂载系统关键目录（如/etc、/var/lib/kubelet、/root），这类挂载一旦被恶意容器利用，可直接读取节点凭证、证书或集群配置。生产环境应优先选用加密的云存储卷（如AWS EBS加密卷、Azure Disk with CMK、GCP Persistent Disk with CMEK），它们在块设备层实现静态加密，密钥由KMS统一托管，不依赖容器内逻辑。
-
禁止：
hostPath指向/、/proc、/sys或用户主目录 -
慎用：
hostPath仅限单节点调试，且必须配合readOnly: true和精确路径（如/opt/config） -
推荐：使用
StorageClass动态供给的加密PV，配合volumeBindingMode: WaitForFirstConsumer确保绑定发生在调度之后
启用只读挂载与最小权限UID/GID
即使挂载了合法路径，也应默认设为只读，除非应用明确需要写入。Kubernetes中通过volumeMounts.readOnly: true实现；同时，在PodSecurityContext中强制指定运行用户和组，并设置fsGroup，使挂载卷的文件权限自动适配非特权用户。
- 示例配置：
securityContext: runAsUser: 1001 runAsGroup: 1001 fsGroup: 2000 volumeMounts: - name: config-volume mountPath: /etc/app/config readOnly: true
- 效果：容器进程以UID 1001运行，挂载点内所有文件属主自动变为
1001:2000，且无法写入 - 补充：若使用
hostPath，需确保宿主机对应目录权限为750且属主为UID 1001，否则fsGroup无法生效
敏感临时数据用tmpfs替代磁盘卷
对于运行时生成的临时凭证（如TLS会话密钥、OAuth令牌）、缓存或日志缓冲区，绝不可写入持久化卷。Kubernetes支持emptyDir并配置medium: Memory，等效于Docker的--tmpfs，数据全程驻留内存，节点重启即清空。
- 配置示例：
volumes: - name: session-tmp emptyDir: medium: Memory sizeLimit: 128Mi volumeMounts: - name: session-tmp mountPath: /run/session readOnly: false - 优势：规避磁盘快照、节点故障后残留、备份误含敏感数据等风险
- 注意：
sizeLimit必须设置，防止内存耗尽导致OOMKilled
禁用特权挂载与符号链接穿透
Kubernetes默认允许容器挂载任意路径，但可通过PodSecurityPolicy（已弃用）或PodSecurity admission（v1.25+）限制hostPath白名单和挂载选项。更直接有效的是在节点层面加固：关闭mount能力，或使用AppArmor profile禁止mount系统调用；同时在SecurityContext中设置allowPrivilegeEscalation: false，阻止容器通过挂载绕过权限检查。
- 禁止容器执行
mount --bind或mount -t proc等操作 - 避免挂载点内存在指向宿主机敏感路径的符号链接（如
/etc/ssl/certs→/usr/share/ca-certificates） - 启用
noexec,nosuid,nodev挂载选项（Kubernetes中通过CSI驱动或节点级fstab控制）
