system:authenticated установлена политика, запрещающая запуск от рута. При запуске деплоймента она применяется, под, который работает от рута не поднимается. Но если запускаешь kubectl run php-apache --image=gcr.io/google\_containers/hpa-example --requests=cpu=500m,memory=500M --expose --port=80, к нему применяется политика с allowPrivilegeEscalation: true и он запускается. Почему? куб 1.18
Запускаешь под рутом?
Что именно запускаю? из-под кластерного админского sa
Ну ты под создаёшь с админкой учётки. Псп игнорится для админа
нет. Не игнорится. Если создавать деплойментом, применяется правильная же. А тут цепляется другая, непонятно, по какому принципу
Пфф. Когда ты деплоймент в кластер кладешь, то реплика сет и поды у тебя уже с правами дефолтного сервисаккаунта создаются. А не с админа
Об этом где-то можно почитать? и вручную запущенный под таки привязан к psp. но к такой, у которой есть привилегированные права
Думаю, что в документации
Действительно) Спасибо, буду искать
Таки не игнорится, но применяется так: "Your cluster admin user is authorized to use both PSP policies. When multiple PSP policies are allowed, ones that do not require changing the pod being created are preferred. The pod spec you are applying does not run as non-root. That means that using the PSP that does not allow escalation would require mutating the pod spec during creation. That is why the privileged PSP is being selected for your pod. For the restricted PSP to be selected, create the pod with a user that does not have access to the privileged PSP"
Обсуждают сегодня