172 похожих чатов

Коллеги есть вопрос. В кластере включен psp, по-умолчанию для

system:authenticated установлена политика, запрещающая запуск от рута. При запуске деплоймента она применяется, под, который работает от рута не поднимается. Но если запускаешь kubectl run php-apache --image=gcr.io/google\_containers/hpa-example --requests=cpu=500m,memory=500M --expose --port=80, к нему применяется политика с allowPrivilegeEscalation: true и он запускается. Почему? куб 1.18

10 ответов

21 просмотр

Запускаешь под рутом?

Desdichado- Автор вопроса
Andrey RRR
Запускаешь под рутом?

Что именно запускаю? из-под кластерного админского sa

Ну ты под создаёшь с админкой учётки. Псп игнорится для админа

Desdichado- Автор вопроса
Lucky SB
Ну ты под создаёшь с админкой учётки. Псп игноритс...

нет. Не игнорится. Если создавать деплойментом, применяется правильная же. А тут цепляется другая, непонятно, по какому принципу

Desdichado
нет. Не игнорится. Если создавать деплойментом, пр...

Пфф. Когда ты деплоймент в кластер кладешь, то реплика сет и поды у тебя уже с правами дефолтного сервисаккаунта создаются. А не с админа

Desdichado- Автор вопроса
Lucky SB
Пфф. Когда ты деплоймент в кластер кладешь, то реп...

Об этом где-то можно почитать? и вручную запущенный под таки привязан к psp. но к такой, у которой есть привилегированные права

Desdichado- Автор вопроса
Lucky SB
Думаю, что в документации

Действительно) Спасибо, буду искать

Desdichado- Автор вопроса
Lucky SB
Ну ты под создаёшь с админкой учётки. Псп игноритс...

Таки не игнорится, но применяется так: "Your cluster admin user is authorized to use both PSP policies. When multiple PSP policies are allowed, ones that do not require changing the pod being created are preferred. The pod spec you are applying does not run as non-root. That means that using the PSP that does not allow escalation would require mutating the pod spec during creation. That is why the privileged PSP is being selected for your pod. For the restricted PSP to be selected, create the pod with a user that does not have access to the privileged PSP"

Похожие вопросы

Обсуждают сегодня

30500 за редактор? )
Владимир
47
а через ESC-код ?
Alexey Kulakov
29
Чёт не понял, я ж правильной функцией воспользовался чтобы вывести отладочную информацию? но что-то она не ловится
notme
18
У меня есть функция где происходит это: write_bit(buffer, 1); write_bit(buffer, 0); write_bit(buffer, 1); write_bit(buffer, 1); write_bit(buffer, 1); w...
~
14
Недавно Google Project Zero нашёл багу в SQLite с помощью LLM, о чём достаточно было шумно в определённых интернетах, которые сопровождались рассказами, что скоро всех "ибешни...
Alex Sherbakov
5
Ребят в СИ можно реализовать ООП?
Николай
33
Как передать управляющий символ в открытую через CreateProcess консоль? Собсна, есть процедура: procedure TRedirectThread.WriteData(Data: OEMString); var Written: Cardinal;...
Serjone
6
в JclConsole объявлено так: function CtrlHandler(CtrlType: DWORD): BOOL; stdcall; - где ваше объявление с stdcall? у вас на картинке нет stdcall
Karagy
8
https://github.com/erlang/otp/blob/OTP-27.1/lib/kernel/src/logger_h_common.erl#L174 https://github.com/erlang/otp/blob/OTP-27.1/lib/kernel/src/logger_olp.erl#L76 15 лет назад...
Maksim Lapshin
20
~ 2m21s  nix shell github:nixos/nixpkgs#stack ~  stack ghc -- --version error: … while calling the 'derivationStrict' builtin at /builtin/derivation.nix:...
Rebuild your mind.
6
Карта сайта