Коллеги есть вопрос. В кластере включен psp, по-умолчанию для

Question

Коллеги есть вопрос. В кластере включен psp, по-умолчанию для

system:authenticated установлена политика, запрещающая запуск от рута. При запуске деплоймента она применяется, под, который работает от рута не поднимается. Но если запускаешь kubectl run php-apache --image=gcr.io/google\_containers/hpa-example --requests=cpu=500m,memory=500M --expose --port=80, к нему применяется политика с allowPrivilegeEscalation: true и он запускается. Почему? куб 1.18

#devops #kubernetes #programming #russian

0

01.10.2020

10 ответов

23 просмотра

Desdichado Автор вопроса

Andrey RRR
Запускаешь под рутом?

Что именно запускаю? из-под кластерного админского sa

0

01.10.2020

Andrey RRR

Desdichado
Что именно запускаю? из-под кластерного админского...

Команду

0

01.10.2020

Lucky SB

Ну ты под создаёшь с админкой учётки. Псп игнорится для админа

0

01.10.2020

Desdichado Автор вопроса

Lucky SB
Ну ты под создаёшь с админкой учётки. Псп игноритс...

нет. Не игнорится. Если создавать деплойментом, применяется правильная же. А тут цепляется другая, непонятно, по какому принципу

0

01.10.2020

Lucky SB

Desdichado
нет. Не игнорится. Если создавать деплойментом, пр...

Пфф. Когда ты деплоймент в кластер кладешь, то реплика сет и поды у тебя уже с правами дефолтного сервисаккаунта создаются. А не с админа

0

01.10.2020

Desdichado Автор вопроса

Lucky SB
Пфф. Когда ты деплоймент в кластер кладешь, то реп...

Об этом где-то можно почитать? и вручную запущенный под таки привязан к psp. но к такой, у которой есть привилегированные права

0

01.10.2020

Lucky SB

Desdichado
Об этом где-то можно почитать? и вручную запущенны...

Думаю, что в документации

0

01.10.2020

Desdichado Автор вопроса

Lucky SB
Думаю, что в документации

Действительно) Спасибо, буду искать

0

01.10.2020

Desdichado Автор вопроса

Lucky SB
Ну ты под создаёшь с админкой учётки. Псп игноритс...

Таки не игнорится, но применяется так: "Your cluster admin user is authorized to use both PSP policies. When multiple PSP policies are allowed, ones that do not require changing the pod being created are preferred. The pod spec you are applying does not run as non-root. That means that using the PSP that does not allow escalation would require mutating the pod spec during creation. That is why the privileged PSP is being selected for your pod. For the restricted PSP to be selected, create the pod with a user that does not have access to the privileged PSP"

0

05.10.2020

Andrey RRR · Accepted Answer

Andrey RRR

Запускаешь под рутом?

0

01.10.2020

172 похожих чатов

Коллеги есть вопрос. В кластере включен psp, по-умолчанию для

10 ответов

Похожие вопросы