Kubernetes v1.37、全ノードコンポーネントを非ルートで動かすRootlessモードがBeta昇格

Kubernetes v1.37において、ノードコンポーネントをホスト上の非ルートユーザーで実行可能にする「KubeletInUserNamespace（Rootlessモード）」がBeta機能へ昇格しました。これにより、kubeletやCRI、OCIランタイム、CNIプラグイン、kube-proxyといった主要なコンポーネントがLinuxのユーザー名前空間内で動作し、ホスト側の特権を必要としなくなります。2018年の着想から足掛け8年、v1.22でのAlpha実装を経て、本番環境での実用化に向けた大きな進展を遂げました。

従来の構成では、ノードコンポーネントがホストのルート権限で動作していたため、コンテナ突破などの脆弱性を突かれた際にホスト全体の制御権を奪われるリスクがありました。Rootlessモードを有効にすることで、万が一攻撃を受けても被害範囲を特定の非ルートユーザーアカウント内に限定でき、カーネルやブートローダー、ファームウェアといったOS基盤への永続的な侵害を物理的に遮断できます。これは、v1.36でGAとなったPod単位のユーザー名前空間サポートとは異なる機能であり、これらを組み合わせることで多層的な防御が可能です。

導入にあたっては、以前の特権実行前提の構成からLinuxユーザー名前空間を利用した権限管理への移行が必要です。ホストOS側のカーネル要件やランタイム設定の変更が伴うため、既存のクラスタ設計を見直す必要があります。Rootless環境では一部のファイルシステム操作やデバイス制御に制限が生じる可能性があるため、デプロイ前に自身のワークロードとの整合性を検証することが求められます。