从容器装载CIFS/SMB共享的安全方法，无需特权标志或SYS_ADMIN功能

Question

我想从docker容器访问Windows文件共享（SMB3），但我不想损害主机的安全性。我读过的所有指南都说明我需要使用--privileged标志或--cap add SYS_ADMIN功能。

下面是我使用的命令：

-t cifs-o用户名='[e-mail]'，密码='some_password'//192.168.123.123/MyShare /mnt/myshare

其结果是：

无法应用新的功能集。

当我应用--cap add SYS_ADMIN功能时，mount命令工作正常，但我知道这会让主机暴露出明显的安全漏洞。

我还阅读了StackOverflow问题（在Docker容器中装载SMB/CIFS共享）中的建议，即在运行Docker的服务器上本地装载卷。这是不可取的，原因有两个：第一，容器是由Rancher Kubernetes集群编排的，我不知道如何使用Rancher实现nPcomp所描述的，第二，这意味着docker主机可以访问该卷。我希望只有容器可以通过机密提供的凭据访问此共享。

我的问题是：有没有办法在Docker容器（库伯内特斯内）中挂载CIFS/SMB3共享，而不会使主机暴露于提权漏洞并保护凭据？非常感谢。

Answer 1

经过更多的研究，我想出了如何做到这一点。有一个面向中小企业的容器存储接口（CSI）驱动程序，称为面向库伯内特斯（https://github.com/kubernetes-csi/csi-driver-smb）的中小企业CSI驱动程序。

使用头盔安装CSI驱动程序后(https://github.com/kubernetes-csi/csi-driver-smb/tree/master/charts)你可以在https://github.com/kubernetes-csi/csi-driver-smb/blob/master/deploy/example/e2e_usage.md（选项#2创建PV/PVC）创建永久卷（PV）和永久卷声明（PVC），用于装载SMB3共享。

然后创建容器并向其提供相关的持久卷声明，指定要将其装载为/mnt/myshare等。

我对此进行了测试，它可以自动部署到多个工作节点，并且运行良好，无需为容器提供特权标志或--cap add SYS_ADMIN。

这支持SMB3甚至身份验证

Wireshark显示所有SMB流量都已加密。我唯一不记得的是，如果您必须首先手动安装cifs utils，因为我已经在所有节点上完成了这项操作，所以无法进行测试。

希望这能帮助别人。