Кто-Нибудь пользуется pod security policy в кубе? Openshift даёт магию в

Question

Кто-Нибудь пользуется pod security policy в кубе? Openshift даёт магию в

виде замены юзера на рандомного и нормально хаваются образы, где прописан юзер именной, например, USER kong.
В многих образах прописан такой именной юзер. Как это использовать для куба? Переписывать на номер?

#devops #kubernetes #programming #russian

0

28.10.2020

15 ответов

3 просмотра

Kirill Garbar Автор вопроса

NM
Это колхоз

Точнее? Что колхоз?

0

28.10.2020

NM

Kirill Garbar
Точнее? Что колхоз?

Весь опенштфт колхоз по мне

0

28.10.2020

Kirill Garbar Автор вопроса

NM
Весь опенштфт колхоз по мне

Ааа. Ну мне тоже многое не нравится, поэтому едем в EKS. Но тем не менее вопрос остаётся открытым. Либо везде в образах переписывать юзера на номер. Либо делать что-то другое. Прописывать в подах securityContext. Admission Controller из опеншифта как-то нету в простом варианте. Как вообще люди делают?

0

28.10.2020

George Gaál

И в чем проблема в юзере

0

28.10.2020

Kirill Garbar Автор вопроса

George Gaál
И в чем проблема в юзере

Если в образе указан USER kong, то куб не может его определить как nonroot. Именные юзеры используются часто в opensource образах. Меня интересует как так? Неужели все переписывают юзеров? Как поступают другие?

0

28.10.2020

Dmitry Sergeev 🇺🇦

Я использую, там не рандомный, а минимальный id из диапозона. Например: runAsUser: rule: MustRunAs ranges: - max: 4500 min: 4401 Если в спеке пода не указан будет uid юзера, то контейнер запустится от 4401 uid. А если в спеке пода uid указан, то ему разрешены только с 4401 по 4500

0

28.10.2020

Kirill Garbar Автор вопроса

Dmitry Sergeev 🇺🇦
Я использую, там не рандомный, а минимальный id из...

Т.е. ты прописываешь securityContext для приложений и норм? Спасибо.

0

28.10.2020

Dmitry Sergeev 🇺🇦

Kirill Garbar
Ааа. Ну мне тоже многое не нравится, поэтому едем ...

а че ты просто доку по psp не прочитаешь? В openshift тот же самый psp используется

0

28.10.2020

Kirill Garbar Автор вопроса

Dmitry Sergeev 🇺🇦
а че ты просто доку по psp не прочитаешь? В opensh...

В Опеншифт используется admission controller, который сам переписывает user id.

0

28.10.2020

Dmitry Sergeev 🇺🇦

Kirill Garbar
Т.е. ты прописываешь securityContext для приложени...

нет, я там ничего обычно не прописываю. Я на уровне psp это делаю. И применяю для всего namespace например

0

28.10.2020

Dmitry Sergeev 🇺🇦

Kirill Garbar
В Опеншифт используется admission controller, кото...

а зачем? Когда psp это делает из коробки?

0

28.10.2020

Dmitry Sergeev 🇺🇦

Kirill Garbar
Если в образе указан USER kong, то куб не может ег...

Если в образе указан USER kong. То ты в кубе через psp можешь принудительно задать любой другой uid, и для этого даже не надо securityContext добавлять в спеку пода, но можно и через нее сделать тоже

0

28.10.2020

Kirill Garbar Автор вопроса

Dmitry Sergeev 🇺🇦
Если в образе указан USER kong. То ты в кубе через...

Спасибо. Видимо я в глаза долбился, если это так. Пошёл читать внимательнее

0

28.10.2020

Dmitry Sergeev 🇺🇦

Kirill Garbar
Спасибо. Видимо я в глаза долбился, если это так. ...

ну я так делаю, я тебе пример выше спеки psp дал.

0

28.10.2020