Kota ve Pod Güvenlik Standartlarını Uygulamak

Neden önemli

Çok kiracılı kümeler müşterek trajediyle ölür: bir ad alanının kaçak işi kümeyi tüketir, tek ayrıcalıklı pod her komşuyu zayıflatır. Kotalar artı standartlar bunları kabile bilgisinden dayatılan kabule taşır; sınav retleri okumayı ölçer, çünkü her ihlal nedenini basar.

Kavramlar

KaynakKotası ad alanını sınırlar: işlem toplamları (CPU ve bellek istek artı limitleri), nesne sayıları (podlar, servisler, KBTler) ve sınıf kapsamlı çeşitler. Kota izlenen alanları bildiren nesneleri sayar; bu yüzden kota artı LimitAralığı iyi eşleşir: aralık varsayılanları verir, her pod sayılır. Kota aşımı oluşumu aşılan rakam alıntılı reddeder.

Pod Güvenlik Standartları üç profil tanımlar: ayrıcalıklı (sınırsız, yalnız sistem ajanlarına), taban (bilinen yetki yükseltmeleri engeller, normal uygulamalara izin verir), kısıtlı (root dışılık, düşürülmüş yetkiler, seccomp ister: uygulamaların sertleştirilmiş varsayılanı). Dayatma etiketlerle ad alanı başına (pod-security.kubernetes.io/enforce: restricted), dayatma ısırmadan önce geçiş için uyarı artı denetim kipleriyle.

Uygulamalı örnek

Ekip ad alanına bütçe artı fedai, ihlaller gösterimli:

# bütçe: 8 CPU isteği, 16Gi bellek, en fazla 10 pod
apiVersion: v1
kind: ResourceQuota
metadata: { name: team-budget, namespace: team-a }
spec:
  hard: { requests.cpu: "8", requests.memory: 16Gi, pods: "10" }
# fedai: kısıtlı dayatmalı, geçişte taban uyarılı
kubectl label namespace team-a \
  pod-security.kubernetes.io/enforce=restricted \
  pod-security.kubernetes.io/warn=baseline
# ihlal bir: 11. pod kotayı adlandırarak reddedilir
# ihlal iki: ayrıcalıklı pod politikayı adlandırarak reddedilir
kubectl apply -f privileged-pod.yaml  # Forbidden: PodSecurity "restricted:latest" ihlali

İki ret de kuralı alıntılar: kota aşılan sabit rakamı adlandırır, politika ihlal edilen denetimi adlandırır. İletiyi oku, bildirimi düzelt, dayatmayı asla.

Sınav notları

Kota izlenen alanları eksik nesneleri yok sayar: isteksiz podlar işlem kotasından kaçar; LimitAralığı döngüyü kapatır. Standartlar tüm podu değerlendirir: tek ayrıcalıklı kapsayıcı ad alanı düşürür. Ve dayatma ile uyarı ile denetim bilinçli üst üste biner: ad alanlarını dayatmadan önce uyarıdan geçir, yoksa ilk dağıtım olay olur.