RootlessKit 开源项目教程

项目介绍

RootlessKit 是一个 Linux 原生的 "fake root" 实现，使用用户命名空间（user_namespaces）。其主要目的是让 Docker 和 Kubernetes 以非特权用户（即 "Rootless 模式"）运行，从而保护主机上的真实 root 免受潜在的容器逃逸攻击。RootlessKit 创建用户命名空间（user_namespaces）和挂载命名空间（mount_namespaces），并执行 newuidmap 和 newgidmap 命令，同时支持隔离网络命名空间（network_namespaces）使用用户空间 NAT（通过 "slirp"）。

项目快速启动

安装要求

在开始之前，确保主机上已安装以下命令：

• subuid
• newuidmap
• newgidmap

快速启动步骤

1. 克隆项目仓库

   git clone https://github.com/rootless-containers/rootlesskit.git
   cd rootlesskit
   

2. 构建并安装 RootlessKit

   make && sudo make install
   

3. 运行 RootlessKit

   rootlesskit bash
   

4. 验证安装

   (rootlesskit)# id
   uid=0(root) gid=0(root) groups=0(root) 65534(nogroup)
   

应用案例和最佳实践

应用案例

RootlessKit 可以用于以下场景：

• 容器引擎：Docker/Moby、Podman、nerdctl、iSulad
• 容器镜像构建器：BuildKit
• Kubernetes 发行版：Usernetes、k3s

最佳实践

• 隔离文件系统：使用 --copy-up 选项隔离文件系统，例如：

  rootlesskit --copy-up=/etc --copy-up=/run bash
  

• 网络隔离：使用 slirp4netns 进行网络隔离，例如：

  rootlesskit --net=slirp4netns --disable-host-loopback bash
  

典型生态项目

RootlessKit 与其他开源项目紧密集成，形成了一个强大的生态系统：

• Docker/Moby：使用 RootlessKit 实现无根模式运行 Docker。
• Podman：自 Podman v1.8.0 起，支持使用 RootlessKit。
• BuildKit：下一代 Docker 构建后端，支持 Rootless 模式。
• Usernetes：可在非特权用户的主目录下安装 Docker 和 Kubernetes。
• k3s：轻量级 Kubernetes 发行版，支持 Rootless 模式。

通过这些集成，RootlessKit 不仅增强了容器和 Kubernetes 的安全性，还提供了更灵活的部署选项。