Security Profiles Operator بعد از شش سال به نسخهٔ ۱.۰ رسید
خلاصهٔ کامل‌تر
لینوکس مکانیزم‌های امنیتی قدرتمندی مثل seccomp، SELinux و AppArmor داره که جلوی کارهای مجاز یه ورک‌لود کانتینری رو می‌گیرن، ولی نوشتن و توزیع و نگهداری دستی پروفایل‌هاشون خسته‌کننده و پرخطاست. Security Profiles Operator یا SPO دقیقاً همین رو حل می‌کنه: پروفایل‌ها رو به‌صورت کاستوم‌ریسورس کوبرنتیز مدیریت می‌کنه، از ورک‌لود زنده پروفایل ضبط می‌کنه و به‌شکل اعلانی به پادها می‌چسبونه.
نویسنده (ساشا گرونرت از Red Hat) اعلام کرده با انتشار v1.0.0 هر هشت CRD این پروژه به v1 ارتقا پیدا کرده؛ اولین ریلیز پایدار SPO که پشتش یه ممیزی امنیتی شخص ثالث، یه دور کامل سخت‌سازی و مسیر مهاجرت بدون داون‌تایم از همهٔ نسخه‌های قبلی API خوابیده.
SPO از آوریل ۲۰۲۰ به‌عنوان یه اپراتور فقط-seccomp شروع کرد و بعد SELinux و AppArmor و ضبط پروفایل با eBPF و توزیع پروفایل روی رجیستری‌های OCI بهش اضافه شد. بعضی از این APIها عملاً سال‌ها پایدار بودن — SeccompProfile بیش از چهار سال روی v1beta1 و SPOD بیش از پنج سال روی v1alpha1 موند. تیم از آخرین فرصت قبل از v1 برای تغییرات شکننده استفاده کرد: استاتوس مشترک بر پایهٔ conditionهای بالادستی، دسته‌بندی ۳۰ فیلد تخت SPOD به گروه‌های منطقی، اصلاح تایپ‌ها و پاسکال‌کیس شدن مقدارهای enum (مثلاً logs شد Logs). تنها استثنای عمدی، ثابت‌های SCMP_ACT_* سک‌کامپ بود که برای هم‌خوانی با OCI و هدرهای کرنل بزرگ موندن.
ممیزی امنیتی هیچ آسیب‌پذیری بحرانی‌ای پیدا نکرد و تأیید کرد که مسیرهای فایل از متادیتای آبجکت ساخته می‌شن (نه از فیلدهای تحت کنترل کاربر)، دستورها به شکل آرایهٔ آرگومان اجرا می‌شن (پس سطحی برای تزریق شل نیست) و RBAC پیش‌فرض هم دسترسی اضافه‌ای به کاربر غیرادمین نمی‌ده.
ولی ممیزی نقاط پرخطر رو هم علامت زد، مخصوصاً همون مرزی که کاستوم‌ریسورس یه تنانت به وضعیت LSM سطح کرنل ترجمه میشه. پرخطرترین مسیر RawSelinuxProfile بود که به کاربر اجازه می‌ده سیاست دلخواه CIL بنویسه و اپراتور روی نود نصبش کنه؛ حالا فیلد جدید enableRawSelinuxProfiles تو کانفیگ SPOD به ادمین کلاستر اجازه می‌ده کلاً خاموشش کنه و یه وبهوک اعتبارسنجی جلوی سیاست‌های نامعتبر رو می‌گیره. اندازهٔ فیلد policy هم به ۵۰۰ کیلوبایت محدود شده تا ورودی قبل از رسیدن به کامپایلر CIL روی نود مهار بشه.
چند سخت‌سازی مهم دیگه: بولین permissive تو SelinuxProfile با یه enum به اسم mode (Enforcing یا Permissive) جایگزین شد تا فیلد ست‌نشده به‌طور تصادفی حالت آسان‌گیر رو فعال نکنه؛ ورودی‌های قالب AppArmor حالا اعتبارسنجی سخت‌گیرانهٔ regex دارن و نمی‌شه پروفایل‌های لودشده تو کرنل رو بازنویسی کرد؛ اپراتورهای حریص regex تو پارسر لاگ‌ها با الگوهای کران‌دار عوض شدن تا خط لاگ دست‌کاری‌شده باعث بک‌ترکینگ سنگین نشه؛ و ضبط‌کنندهٔ eBPF حالا سقف تعداد فایل و طول مسیر داره تا رو ورک‌لودهای پرترافیک OOM نده.
مهاجرت هم هیچ مرحلهٔ دستی نمی‌خواد. وبهوک‌های تبدیل، ترجمهٔ بین نسخه‌های قدیم و جدید API رو نامرئی انجام می‌دن: مانیفست‌های v1alpha1 و v1beta1 هنوز کار می‌کنن، kubectl get با نسخهٔ قدیمی هم همون مقادیر قدیمی enum رو برمی‌گردونه، و نگاشت enumها دوطرفه‌ست. برای اکثر CRDها فقط خط apiVersion عوض میشه:
apiVersion: security-profiles-operator.x-k8s.io/v1
kind: ProfileRecording
spec:
kind: SeccompProfile
recorder: Logs
mergeStrategy: Noneبخش جذاب ماجرا اینه که ایده‌های SPO دارن به خود کوبرنتیز راه پیدا می‌کنن. KEP 6061 توزیع پروفایل امنیتی مبتنی بر OCI Artifact رو برای یکی از ریلیزهای بعدی به‌عنوان alpha پیشنهاد داده و یه فراخوان CRI به اسم PullSecurityProfileArtifact اضافه می‌کنه تا رانتایم کانتینر بتونه پروفایل رو مستقیم از رجیستری بگیره — همون کاری که SPO سال‌ها پیش شروعش کرد. SPO قراره همچنان لایه‌های بالاتری مثل ضبط پروفایل از ورک‌لود زنده و غنی‌سازی لاگ ممیزی رو نگه داره.
نکات کلیدی:
- هر هشت CRD اپراتور به v1 رسیدن؛ اولین ریلیز پایدار بعد از شش سال
- ممیزی امنیتی شخص ثالث هیچ آسیب‌پذیری بحرانی‌ای پیدا نکرد
- پرخطرترین مسیر یعنی RawSelinuxProfile حالا قابل خاموش کردن و اعتبارسنجی‌شده‌ست
- ارتقا بدون داون‌تایم و بدون مرحلهٔ دستیه؛ مانیفست‌های قدیمی هنوز کار می‌کنن
- KEP 6061 داره توزیع پروفایل روی OCI رو به خود کوبلت می‌بره
