Add a doc about how to run as non root user (#2738)

Author: fgksgf

zh/TOC.md

@@ -0,0 +1,29 @@
+<!-- markdownlint-disable MD007 -->
+<!-- markdownlint-disable MD041 -->
+
+- [TiDB on Kubernetes 文档](https://docs.pingcap.com/zh/tidb-in-kubernetes/dev)
+- 关于 TiDB Operator
+- 部署
+    - 自托管的 Kubernetes
+- 监控与告警
+- 数据迁移
+    - 从 MySQL 迁移
+- 运维管理
+    - 安全
+      - [以非 root 用户运行](containers-run-as-non-root-user.md)
+    - 升级
+        - 升级 TiDB Operator
+    - 备份与恢复
+        - 使用 Amazon S3 兼容的存储
+        - 使用 Google Cloud Storage
+        - 使用 Azure Blob Storage
+        - 使用持久卷
+        - 基于快照的备份和恢复
+    - 运维
+        - 为 TiDB 集群更换节点
+    - 灾难恢复
+- 故障诊断
+- 参考
+    - 架构
+    - 工具
+    - 配置

zh/containers-run-as-non-root-user.md

@@ -0,0 +1,59 @@
+---
+title: 以非 root 用户运行容器
+summary: 了解如何在 Kubernetes 环境中以非 root 用户运行容器。
+---
+
+# 以非 root 用户运行容器
+
+在某些 Kubernetes 环境中，容器无法以 root 用户身份运行。出于安全考虑，建议在生产环境中以非 root 用户运行容器，以降低潜在攻击带来的安全风险。本文介绍如何通过配置 [`securityContext`](https://kubernetes.io/zh-cn/docs/tasks/configure-pod-container/security-context/#set-the-security-context-for-a-pod) 实现以非 root 用户运行容器。
+
+## 配置 TiDB Operator 相关的容器
+
+对于 TiDB Operator 相关的容器，可以在 Helm 的 `values.yaml` 文件中配置安全上下文 (`securityContext`)。
+
+以下是一个配置示例：
+
+```yaml
+controllerManager:
+  securityContext:
+    runAsUser: 1000
+    runAsGroup: 2000
+    fsGroup: 2000
+```
+
+## 配置按照 CR 生成的容器
+
+对于按照 Custom Resource (CR) 生成的容器，可以在任意一种 CR（例如 `PDGroup`、`TiDBGroup`、`TiKVGroup`、`TiFlashGroup`、`TiCDCGroup`、`Backup`、`CompactBackup`、`BackupSchedule`、`Restore`）中配置安全上下文 (`securityContext`)。
+
+- 对于 `PDGroup`、`TiDBGroup`、`TiKVGroup`、`TiFlashGroup`、`TiCDCGroup` 等 CR，可以通过 Overlay 的方式配置安全上下文。配置 `PDGroup` CR 的示例如下：
+
+    ```yaml
+    apiVersion: core.pingcap.com/v1alpha1
+    kind: PDGroup
+    metadata:
+      name: pd
+    spec:
+      template:
+        spec:
+          overlay:
+            pod:
+              spec:
+                securityContext:
+                  runAsUser: 1000
+                  runAsGroup: 2000
+                  fsGroup: 2000
+    ```
+
+- 对于 `Backup`、`CompactBackup`、`BackupSchedule`、`Restore` 等 CR，可以在 `spec` 中配置 `podSecurityContext`。配置 `Backup` CR 的示例如下：
+
+    ```yaml
+    apiVersion: br.pingcap.com/v1alpha1
+    kind: Backup
+    metadata:
+      name: backup
+    spec:
+      podSecurityContext:
+        runAsUser: 1000
+        runAsGroup: 2000
+        fsGroup: 2000
+    ```