Q：Pod 內容器默認共享的 Namespace 有哪些？

A：Pod 內容器默認共享：

• 網絡（Network）Namespace ?：共享 IP、端口等，支持 localhost 通信。
• UTS Namespace ?：共享主機名（hostname）。
• IPC Namespace ?：共享信號量、消息隊列等 IPC 資源。
• ? PID Namespace 默認不共享：每個容器擁有獨立的進程樹（PID 隔離），不共享進程 ID 空間。除非通過 shareProcessNamespace: true 顯式共享。

Q：Pod 與宿主機默認隔離的 Namespace 有哪些？

A：默認隔離的 Namespace 包括：

• Mount Namespace ?：隔離文件系統掛載點。
• UTS Namespace ?：隔離主機名。
• IPC Namespace ?：隔離進程間通信。
• 網絡（Network）Namespace ?：隔離網絡棧。
• PID Namespace ?：隔離進程 ID 空間。
• ? 用戶（User）Namespace：默認不啟用隔離：容器內 UID 直接對應宿主機 UID（無映射）。需顯式配置：啟用 User Namespace 后，通過 UID 映射實現隔離。

Q：容器內 UID=0 與宿主機 root 權限的關系等同嗎？

A：容器內 UID=0 不等同于宿主機 root 權限。

• 隔離機制：默認無 User Namespace 隔離，但通過 Capabilities 機制限制權限（如 CAP_SYS_ADMIN 默認被移除）。
• 安全策略：Seccomp、AppArmor 等進一步限制容器操作。
• 特權模式例外：僅當 privileged: true 時，容器獲得近似宿主機 root 的權限。

Q：privileged 模式下非 root 用戶的文件訪問權限是什么？

A：當 Pod 設置 privileged: true 時，權限本質：

• 容器獲得所有 Linux Capabilities（如 CAP_DAC_OVERRIDE 可忽略文件權限檢查），解除設備訪問限制（如直接訪問 /dev 設備）。
• 在特權模式下，非 root 用戶（如 UID=1000）擁有所有 Capabilities，因此可以忽略文件權限（DAC），直接訪問任何文件（如宿主機上的 /etc/shadow），前提是文件系統路徑對容器可見（例如，通過卷掛載暴露宿主機路徑）。