Привет сообщество. Такой вопрос. Если я использую параметр automountServiceAccountToken: false в

Question

Привет сообщество. Такой вопрос. Если я использую параметр automountServiceAccountToken: false в

pod\sa, тогда в мой pod не замаунтится токен sa, который можно было бы использоваться для коннекта к Kubernetes API. Ок

Вместо SA и его токена для коннекта в API можно, как я понял, использовать SecureAccountToken (https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/#service-account-token-volume-projection)

Теперь вопрос. Client-go умеет работать с SecureAccountToken вообще? В официальной инструкции он ожидает, что будет именно SA токен в /var/run/secrets/kubernetes.io/serviceaccount и что-то я не нашел кейсов работы с SecureAccountToken.

Вообще ощущение, что я вообще не понял как работает SecureAccountToken и как его юзать(

#devops #kubernetes #programming #russian

0

24.06.2022

8 ответов

21 просмотр

George Gaál

что-то тут не то, а это тебе безопасники сказали, что за automountServiceAccountToken: false атата?

0

24.06.2022

Vladimir Zemtsov Автор вопроса

George Gaál
что-то тут не то, а это тебе безопасники сказали, ...

за True атата и сразу врубили мутейшенхук на автоматическую замену на false)

0

24.06.2022

Dmitry Sergeev 🇺🇦

А если тебе токен нужен для общения с API куба, почему тогда просто не выставишь automountServiceAccountToken: true? > Client-go умеет работать с SecureAccountToken вообще? В официальной инструкции он ожидает, что будет именно SA токен в /var/run/secrets/kubernetes.io/serviceaccount Токен который в итоге монтируется это и есть SecureAccountToken. SA токен == SecureAccountToken - это одно и тоже

0

24.06.2022

Vladimir Zemtsov Автор вопроса

Dmitry Sergeev 🇺🇦
А если тебе токен нужен для общения с API куба, по...

Тру - несекурно и низя (с) Безы Остальное да - ты прав. Мне уже подсказали. Завелось все

0

24.06.2022

Dmitry Sergeev 🇺🇦

Vladimir Zemtsov
Тру - несекурно и низя (с) Безы Остальное да - ты...

погоди. Что значит несекурно? Тут вопрос стоит надо с kube-apiserver общаться или нет. Если надо, то нужен токен, без него это сделать невозможно. Ну то есть ты просто говоришь, я пишу приложение которому нужен доступ в kube-apiserver, следовательно для этого приложение нужно разрешить монтирование токена и разрешить ходить в kube-apiserver

0

24.06.2022

Dmitry Sergeev 🇺🇦

Vladimir Zemtsov
Тру - несекурно и низя (с) Безы Остальное да - ты...

ну я так понимаю тебе подсказали как смонтировать его другими путями, в обход правил безопасности. Но это же дичь по фатку =)

0

24.06.2022

Vladimir Zemtsov Автор вопроса

Dmitry Sergeev 🇺🇦
погоди. Что значит несекурно? Тут вопрос стоит над...

Суть в том, что по умолчанию они на все поды вешают false и всем подам по умолчанию не монтируется токен СА. Хочешь токен - монтируй. Из-за этого (а это новая политика) придётся все приложения, что в куб апи ходят пересобирать. И я немного споткнулся на первом)

0

24.06.2022

George Gaál · Accepted Answer

George Gaál

а в чем проблема? тебе никто не мешает этот токен руками замаунтить (который токен sa)?

0

24.06.2022

172 похожих чатов

Привет сообщество. Такой вопрос. Если я использую параметр automountServiceAccountToken: false в

8 ответов

Похожие вопросы