Sie betreiben einen Pod pro Kunde in einem einzigen GKE-Cluster, und Kunden können beliebigen Code in ihren Pods ausführen. Wie maximieren Sie die Isolation zwischen Kunden-Pods?

Die korrekte Antwort ist die Erstellung eines GKE-Knotenpools mit gVisor und die Konfiguration von runtimeClassName: gvisor in den Pod-Spezifikationen. gVisor ist eine Open-Source-Container-Laufzeitumgebung, die eine zusätzliche Sicherheitsebene zwischen den laufenden Anwendungen und dem Host-Betriebssystem bietet. Sie isoliert Pods stärker als herkömmliche Container-Laufzeiten, was für Multi-Tenant-Umgebungen, in denen Kunden beliebigen Code ausführen können, entscheidend ist. Binary Authorization whitelisted Images, aber dies verhindert nicht die Ausführung von schadhaftem Code innerhalb eines erlaubten Images. Container Analysis scannt auf Schwachstellen, bietet aber keine Laufzeitisolation. Die Verwendung von coscontainerd ist das Standard-Knoten-Image und bietet keine verbesserte Isolation über die Standard-Container-Laufzeit hinaus.