Design and Implementation of fsUser for Kubernetes

Ing. Dušan Úradník

Diplomová práce

Anotace:

Táto diplomová práca sa zaoberá problémom detailného riadenia vlastníctva súborov v Kubernetes prostredníctvom návrhu, dizajnu a aplikácie poľa fsUser na úrovni podu a kontajnera. V súčasnosti je v Kubernetes vlastníctvo súborov v pripojených zväzkoch spravované prevažne cez pole fsGroup, ktoré podporuje iba skupinové oprávnenia a umožňuje nastavenie len na úrovni celého podu. Toto obmedzenie sťažuje nasadenie aplikácií, ktoré vyžadujú prísne individuálne vlastníctvo súborov konkrétnym používateľom, ako napríklad PostgreSQL alebo SSH démony, čo často vyžaduje obchádzky, ako sú init kontajnery na manuálne nastavenie oprávnení. Prvá časť práce zavádza globálne (na úrovni podu) pole fsUser, rozširuje Kubernetes API a internú logiku kubeletu tak, aby podporovali nastavenie vlastníctva súborov pomocou identifikátorov používateľov (UID) pre všetky súbory zapisované do pripojených zväzkov. Riešenie je overené na reálnych prípadoch použitia a demonštruje zlepšenie použiteľnosti a bezpečnosti pre aplikácie, ktoré vyžadujú prísne vlastnícke obmedzenia. Druhá časť práce skúma možnosť špecifikovať polia fsUser a fsGroup pre každý kontajner zvlášť, pričom využíva najnovšie pokroky v užívateľských menných priestoroch Linuxu a ID-mapovaných pripojených zväzkov, ktoré podporujú nástroje containerd a runc. Práca navrhuje a implementuje rozšírenia API a zmeny v runtime, ktoré umožňujú, aby kontajnery v rámci jedného podu vnímali zdieľané zväzky ako patriace iným používateľom, bez potreby duplikácie obsahu alebo výrazného zníženia výkonu. Riešenie je realizované ako konceptuálna úprava Kubernetes, containerd a runc a je overené funkčnými a výkonnostnými testami. Výsledky ukazujú, že metóda ID-mapovaných pripojených zväzkov má výrazné výkonnostné výhody oproti tradičnej rekurzívnej zmene vlastníctva. Práca tiež popisuje existujúce obmedzenia ekosystému Kubernetes, najmä limity úplne nezávislých užívateľských menných priestorov pre každý kontajner, a predstavuje základy pre budúce rozšírenia. Predložený výskum demonštruje realizovateľnosť a prínos správy vlastníctva súborového systému na úrovni kontajnera, čím otvára cestu k bezpečnejším a flexibilnejším Kubernetes prostrediam s viacerými užívateľmi.

Abstract:

This thesis addresses the fine-grained file system owner management problem in Kubernetes by proposing, designing, and applying the fsUser field at pod and container scopes. Currently, in Kubernetes, file ownership within mounted volumes is handled predominantly by the fsGroup field, with group-level permissions being supported and only pod-wide scope being allowed. This limitation renders deployment of applications whose specifications entail strict file individual user ownership, such as PostgreSQL and SSH daemons, which usually necessitates workarounds such as init containers to set permissions manually. The first part of the thesis introduces a global (pod-level) fsUser field, expanding the Kubernetes API and internal kubelet logic to support setting user ownership with user identifiers (UIDs) on all files written in attached volumes. The solution is exercised with realworld use cases and demonstrates improved usability and security for applications that demand strict ownership constraints. The second part of the thesis explores the possibility of specifying the fsUser and fsGroup fields per container, leveraging recent advancements in Linux user namespaces and idmapped mounts supported by containerd and runc. The effort proposes and implements API extensions and runtime changes that cause containers within the same pod to perceive shared volumes as belonging to other users without duplicating content or inducing radical performance overheads. This solution is realized as a proof-of-concept modification to Kubernetes, containerd, and runc and is validated through functional domain-specific and performance-oriented testing. Findings show that the idmapped mount method has significant performance advantages over traditional recursive change of ownership. The thesis also describes the existing limitations of the Kubernetes ecosystem, notably the limitations of having completely independent user namespaces per container. It introduces the foundation laid for future enhancements. The research submitted demonstrates the feasibility and value of file system ownership per container, paving the way for more secure and more flexible multi-tenant Kubernetes environments.

Keywords

fine-grained file system ownership, Kubernetes security context, user namespace configuration, idmapped mounts, container isolation, volume ownership management, multi-tenant Kubernetes environments, declarative permissions model, Linux kernel namespaces, file system user mapping

Jazyk práce: angličtina

Datum vytvoření / odevzdání či podání práce: 21. 5. 2025

Obhajoba závěrečné práce

• Obhajoba proběhla 19. 6. 2025
• Vedoucí: RNDr. Lukáš Hejtmánek, Ph.D.
• Oponent: Ing. Milan Daneček, Ph.D.

Masarykova univerzita

Fakulta informatiky

Magisterský studijní program / obor:
Softwarové inženýrství / Návrh a vývoj softwarových systémů