Привет, подскажите про pod security policies. Есть Deployment, в котором

Question

Привет, подскажите про pod security policies. Есть Deployment, в котором

прописан 'serviceAccountName: test-sa'. Есть созданная psp с ограниченными политиками, названная abc-psp (чтобы по алфавиту была первой, ибо при прочих равных привязка psp осуществялется так). Есть role и rolebinding соответственно позволяющие акккаунту test-sa использовать abc-psp. Но когда деплоится, то в аннотациях другая:
kubernetes.io/psp: privileged

При этом внутри манифеста самого деплоймента никаких настроек, которые бы запрашивали расширенные права, нет, там почти ничего лишнего.
У меня в кластере порядка 20 достаточно типовых деплойментов, примерно половине куб отдал кастомную psp, как ожидается, а половине privileged. Никакой закономерности выявить не смог, как будто рандом. Версия куба 1.14.
Почему ассайнится privileged? Разве не должен под с указанным serviceAccountName деплоиться только под этим аккаунтом и с psp, которую этот аккаунт может использовать согласно RBAC?

#devops #kubernetes #programming #russian

0

07.02.2020

2 ответов

25 просмотров

Mike Wazowski

Если privileged запретить, то под стартанёт?

0

07.02.2020

Dmitry Sergeev 🇺🇦 · Accepted Answer

psp это ограничение на уровне API. То есть от имени какой учётки обращаешься в Api куба, на неё и действуют ограничения. То что ты прописал serviceAccountName в деплойменте, лишь означает, что в поды будет монтироваться токен от этой SA, а не от default SA. Это нужно, если у тебя приложение общается с API куба, а для других случаев это лучше совсем запретить. В твоём случае у тебя просто половина деплойментов создавались от одной учётки SA, а другая половина от имени другой учётки SA. И к ним применяются разные psp

172 похожих чатов

Привет, подскажите про pod security policies. Есть Deployment, в котором

2 ответов

Похожие вопросы