容器编排学习（七）污点容忍与优先级抢占

已于 2023-09-09 18:03:14 修改
阅读量491 收藏
点赞数
分类专栏： Kubernetes 容器编排学习 文章标签： 学习 linux 运维 服务器 kubernetes 云原生 容器
于 2023-09-02 12:34:46 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_79227925/article/details/132636678
版权

一  污点

1  污点概述

污点 (Taint) 是使节点与 Pod 产生排斥的一类规则

污点策略通过嵌合在键值对上的污点标签进行声明实现

2  污点标签

  • 尽量不调度：PreferNoSchedule
  • 不会被调度：NoSchedule
  • 驱逐节点：NoExecute

3  管理污点标签

  • 污点标签必须绑定在键值对上

       格式为key=value:[污点标签]

  • 查看污点标签

       kubectl describe nodes [节点名字]

  • 设置污点标签

        kubectl taint node [节点名字] key=value:污点标签

  • 删除污点标签

        kubectl taint node [节点名字] key=value:污点标签-

4  污点策略实验

        为node设置污点标签

  • 为 node-0001 设置 PreferNoSchedule 污点标签
  • 为 node-0002 设置 NoSchedule 污点标签
# 查看污点策略
[root@master ~]# kubectl describe nodes|grep Taints
Taints:             node-role.kubernetes.io/master:NoSchedule
Taints:             <none>
Taints:             <none>
Taints:             <none>
Taints:             <none>
Taints:             <none>

# node-0001 设置污点策略 PreferNoSchedule
[root@master ~]# kubectl taint node node-0001 k=v1:PreferNoSchedule
node/node-0001 tainted

# node-0002 设置污点策略 NoSchedule
[root@master ~]# kubectl taint node node-0002 k=v2:NoSchedule
node/node-0002 tainted

[root@master ~]# kubectl describe nodes |grep Taints
Taints:             node-role.kubernetes.io/master:NoSchedule
Taints:             k=v1:PreferNoSchedule
Taints:             k=v2:NoSchedule
Taints:             <none>
Taints:             <none>
Taints:             <none>

        Pod资源文件

[root@master ~]# vim myphp.yaml
---
kind: Pod
apiVersion: v1
metadata:
  name: myphp
spec:
  containers:
  - name: php
    image: myos:php-fpm
    resources:
      requests:
        cpu: 1500m

        验证污点策略

# 优先使用没有污点的节点
[root@master ~]# sed "s,myphp,php1," myphp.yaml |kubectl apply -f -
pod/php1 created
[root@master ~]# sed "s,myphp,php2," myphp.yaml |kubectl apply -f -
pod/php2 created
[root@master ~]# sed "s,myphp,php3," myphp.yaml |kubectl apply -f -
pod/php3 created
[root@master ~]# kubectl get pods -o wide
NAME   READY   STATUS    RESTARTS   AGE   IP            NODE
php1   1/1     Running   0          13s   10.244.3.35   node-0003
php2   1/1     Running   0          5s    10.244.4.32   node-0004
php3   1/1     Running   0          5s    10.244.5.34   node-0005

# 在没有其他节点可用的时候，最后使用 PreferNoSchedule 节点
[root@master ~]# sed 's,myphp,php4,' myphp.yaml |kubectl apply -f -
pod/php4 created
[root@master ~]# kubectl get pods -o wide
NAME   READY   STATUS    RESTARTS   AGE   IP            NODE
php1   1/1     Running   0          13s   10.244.3.35   node-0003
php2   1/1     Running   0          5s    10.244.4.32   node-0004
php3   1/1     Running   0          5s    10.244.5.34   node-0005
php4   1/1     Running   0          80s   10.244.1.33   node-0001

# 继续创建Pod，即使Pod创建失败，也不会使用 NoSchedule 节点
[root@master ~]# sed 's,myphp,php5,' myphp.yaml |kubectl apply -f -
pod/php5 created
[root@master ~]# kubectl get pods -o wide
NAME   READY   STATUS    RESTARTS   AGE   IP            NODE
php1   1/1     Running   0          53s   10.244.3.35   node-0003
php2   1/1     Running   0          65s   10.244.4.32   node-0004
php3   1/1     Running   0          75s   10.244.5.34   node-0005
php4   1/1     Running   0          80s   10.244.1.33   node-0001
php5   0/1     Pending   0          5s    <none>        <none>

设置 NoSchedule 污点标签，只对新建 Pod 有效，对于已经创建完成的 Pod 不会产生影响

# NoSchedule 不会影响已经创建的 Pod
[root@master ~]# kubectl taint node node-0003 k=v3:NoSchedule
node/node-0003 tainted
[root@master ~]# kubectl describe nodes |grep Taints
Taints:             node-role.kubernetes.io/master:NoSchedule
Taints:             k=v1:PreferNoSchedule
Taints:             k=v2:NoSchedule
Taints:             k=v3:NoSchedule
[root@master ~]# kubectl get pods -o wide
NAME   READY   STATUS    RESTARTS   AGE   IP            NODE
php1   1/1     Running   0          53s   10.244.3.35   node-0003
php2   1/1     Running   0          65s   10.244.4.32   node-0004
php3   1/1     Running   0          75s   10.244.5.34   node-0005
php4   1/1     Running   0          80s   10.244.1.33   node-0001
php5   0/1     Pending   0          5s    <none>        <none>

驱逐策略

驱逐策略会删除该节点上的所有 Pod

为 node-0004 设置 NoExecute 策略

# NoExecute 会删除节点上的 Pod
[root@master ~]# kubectl taint node node-0004 k=v4:NoExecute
node/node-0004 tainted
[root@master ~]# kubectl describe nodes |grep Taints
Taints:             node-role.kubernetes.io/master:NoSchedule
Taints:             k=v1:PreferNoSchedule
Taints:             k=v2:NoSchedule
Taints:             k=v3:NoSchedule
Taints:             k=v4:NoExecute

# 产看Pod的情况，NoExecute 污点所在节点的Pod已经被删除了
[root@master ~]# kubectl get pods -o wide
NAME   READY   STATUS    RESTARTS   AGE   IP            NODE
php1   1/1     Running   0          53s   10.244.3.35   node-0003
php3   1/1     Running   0          75s   10.244.5.34   node-0005
php4   1/1     Running   0          80s   10.244.1.33   node-0001
php5   0/1     Pending   0          5s    <none>        <none>

清理实验配置

[root@master ~]# kubectl delete pod --all
pod "php1" deleted
pod "php3" deleted
pod "php4" deleted
pod "php5" deleted
[root@master ~]# kubectl taint node node-000{1..4} k-
node/node-0001 untainted
node/node-0002 untainted
node/node-0003 untainted
node/node-0004 untainted
[root@master ~]# kubectl describe nodes |grep Taints
Taints:             node-role.kubernetes.io/master:NoSchedule
Taints:             <none>
Taints:             <none>
Taints:             <none>
Taints:             <none>
Taints:             <none>

二  容忍策略

1  概述

容忍刚好与污点相反，某些时候我们需要在有污点的节点上运行 Pod，这种无视污点标签的调度方式称为容忍

spec:
  tolerations:           # 定义容忍策略
  - operator: Equal      # 匹配方式，必选（Equal,Exists）
    key: k1              # 设置键值对 key,为空代表任意键值对
    value: v1            # 设置 values 的值
    effect: NoSchedule   # 设置容忍的标签，为空代表所有污点标签
  containers:

2  容忍策略实验

为node设置污点

节点 node-000{1..2} 设置污点标签 k=v1:NoSchedule

节点 node-000{3..4} 设置污点标签 k=v2:NoSchedule

节点 node-0005 设置污点标签 k=v1:NoExecute

# 节点 node-0001,node-0002 设置污点标签 k=v1:NoSchedule
[root@master ~]# kubectl taint node node-000{1..2} k=v1:NoSchedule
node/node-0001 tainted
node/node-0002 tainted
# 节点 node-0003,node-0004 设置污点标签 k=v2:NoSchedule
[root@master ~]# kubectl taint node node-000{3..4} k=v2:NoSchedule
node/node-0003 tainted
node/node-0004 tainted
# 节点 node-0005 设置污点标签 k=v1:NoExecute
[root@master ~]# kubectl taint node node-0005 k=v1:NoExecute
node/node-0005 tainted

[root@master ~]# kubectl describe nodes |grep Taints
Taints:             node-role.kubernetes.io/master:NoSchedule
Taints:             k=v1:NoSchedule
Taints:             k=v1:NoSchedule
Taints:             k=v2:NoSchedule
Taints:             k=v2:NoSchedule
Taints:             k=v1:NoExecute

精确匹配策略

# 容忍 k=v1:NoSchedule 污点
[root@master ~]# vim myphp.yaml
---
kind: Pod
apiVersion: v1
metadata:
  name: myphp
spec:
  tolerations:
  - operator: Equal      # 完全匹配键值对
    key: k               # 匹配键
    value: v1            # 匹配值
    effect: NoSchedule   # 匹配污点标签
  containers:
  - name: php
    image: myos:php-fpm
    resources:
      requests:
        cpu: 1500m

[root@master ~]# for i in php{1..3};do sed "s,myphp,${i}," myphp.yaml ;done|kubectl apply -f -
pod/php1 created
pod/php2 created
pod/php3 created
[root@master ~]# kubectl get pods -o wide
NAME   READY   STATUS    RESTARTS   AGE   IP            NODE
php1   1/1     Running   0          6s    10.244.1.10   node-0001
php2   1/1     Running   0          6s    10.244.2.11   node-0002
php3   1/1     Pending   0          6s    <none>        <none>
[root@master ~]# kubectl delete pod --all
pod "php1" deleted
pod "php2" deleted
pod "php3" deleted

模糊匹配策略

# 容忍 k=*:NoSchedule 污点
[root@master ~]# vim myphp.yaml
---
kind: Pod
apiVersion: v1
metadata:
  name: myphp
spec:
  tolerations:
  - operator: Exists     # 部分匹配，存在即可
    key: k               # 键
    effect: NoSchedule   # 污点标签
  containers:
  - name: php
    image: myos:php-fpm
    resources:
      requests:
        cpu: 1500m

[root@master ~]# for i in php{1..5};do sed "s,myphp,${i}," myphp.yaml ;done|kubectl apply -f -
pod/php1 created
pod/php2 created
pod/php3 created
pod/php4 created
pod/php5 created
[root@master ~]# kubectl get pods -o wide
NAME   READY   STATUS    RESTARTS   AGE   IP            NODE
php1   1/1     Running   0          6s    10.244.1.12   node-0001
php2   1/1     Running   0          6s    10.244.2.21   node-0002
php3   1/1     Running   0          6s    10.244.3.18   node-0003
php3   1/1     Running   0          6s    10.244.4.24   node-0004
php5   1/1     Pending   0          6s    <none>        <none>
[root@master ~]# kubectl delete pod --all
pod "php1" deleted
pod "php2" deleted
pod "php3" deleted
pod "php4" deleted
pod "php5" deleted

所有污点标签

# 容忍所有 node 上的污点
[root@master ~]# vim myphp.yaml 
---
kind: Pod
apiVersion: v1
metadata:
  name: myphp
spec:
  tolerations:
  - operator: Exists     # 模糊匹配
    key: k               # 键
    effect: ""           # 设置空或删除，代表所有污点标签
  containers:
  - name: php
    image: myos:php-fpm
    resources:
      requests:
        cpu: 1500m

[root@master ~]# for i in php{1..5};do sed "s,myphp,${i}," myphp.yaml ;done|kubectl apply -f -
pod/php1 created
pod/php2 created
pod/php3 created
pod/php4 created
pod/php5 created
[root@master ~]# kubectl get pods -o wide
NAME   READY   STATUS    RESTARTS   AGE   IP            NODE
php1   1/1     Running   0          36s   10.244.1.15   node-0001
php2   1/1     Running   0          36s   10.244.2.16   node-0002
php3   1/1     Running   0          36s   10.244.3.19   node-0003
php4   1/1     Running   0          36s   10.244.4.17   node-0004
php5   1/1     Running   0          36s   10.244.5.18   node-0005

清理实验配置

[root@master ~]# kubectl taint node node-000{1..5} k-
node/node-0001 untainted
node/node-0002 untainted
node/node-0003 untainted
node/node-0004 untainted
node/node-0005 untainted
[root@master ~]# kubectl describe nodes |grep Taints
Taints:             node-role.kubernetes.io/master:NoSchedule
Taints:             <none>
Taints:             <none>
Taints:             <none>
Taints:             <none>
Taints:             <none>
[root@master ~]# kubectl delete pod --all
pod "php1" deleted
pod "php2" deleted
pod "php3" deleted
pod "php4" deleted
pod "php5" deleted

三  优先级与抢占

1 概述

优先级表示一个 Pod 相比于其他 Pod 的重要性

优先级可以保证重要的 Pod 被调度运行

如何使用优先级和抢占？

  • 配置优先级类 PriorityClass
  • 创建 Pod 时为其设置对应的优先级

2  PriorityClass

1  概述

PriorityClass 是一个全局资源对象，它定义了从优先级类名称到优先级整数值的映射。优先级在 value 字段中指定可以设置小于 10亿 的整数值，值越大，优先级越高。

2  两个可选字段

globalDefault 用于设置默认优先级状态，如果没有任何优先级设置Pod的优先级为零

description 用来配置描述性信息，告诉用户优先级的用途

3 优先级策略

非抢占优先：指的是在调度阶段优先进行调度分配，一旦容器调度完成就不可以抢占，资源不足时，只能等待

抢占优先：强制调度一个 Pod ，如果资源不足无法被调度调度程序会抢占(删除) 较低优先级的 Pod 的资源，来保证高优先级Pod的运行

3  非抢占优先级

定义优先级资源对象

  • 创建一个 value 为 1000 的优先级对象
  • 设置非抢占策略 Never
  • 创建一个 value 为 500的优先级对象
  • 设置非抢占策略 Never
# 定义优先级（队列优先）
[root@master ~]# vim mypriority.yaml
---
kind: PriorityClass
apiVersion: scheduling.k8s.io/v1
metadata:
  name: high-non          # 优先级名称
preemptionPolicy: Never   # 策略：非抢占
value: 1000               # 优先级
---
kind: PriorityClass
apiVersion: scheduling.k8s.io/v1
metadata:
  name: low-non           # 优先级名称
preemptionPolicy: Never   # 策略：非抢占
value: 500                # 优先级

[root@master ~]# kubectl apply -f mypriority.yaml 
priorityclass.scheduling.k8s.io/high-non created
priorityclass.scheduling.k8s.io/low-non created
[root@master ~]# kubectl get priorityclasses.scheduling.k8s.io 
NAME                      VALUE        GLOBAL-DEFAULT   AGE
high-non                  1000         false            12s
low-non                   500          false            12s
system-cluster-critical   2000000000   false            45h
system-node-critical      2000001000   false            45h

Pod资源文件

# 无优先级的 Pod
[root@master ~]# cat php1.yaml 
---
kind: Pod
apiVersion: v1
metadata:
  name: php1
spec:
  nodeSelector:
    kubernetes.io/hostname: node-0004
  containers:
  - name: php
    image: myos:php-fpm
    resources:
      requests:
        cpu: "1500m"

# 低优先级 Pod
[root@master ~]# cat php2.yaml 
---
kind: Pod
apiVersion: v1
metadata:
  name: php2
spec:
  nodeSelector:
    kubernetes.io/hostname: node-0004
  priorityClassName: low-non      # 指定优先级的名字
  containers:
  - name: php
    image: myos:php-fpm
    resources:
      requests:
        cpu: "1500m"

# 高优先级 Pod
[root@master ~]# cat php3.yaml 
---
kind: Pod
apiVersion: v1
metadata:
  name: php3
spec:
  nodeSelector:
    kubernetes.io/hostname: node-0004
  priorityClassName: high-non     # 指定优先级的名字
  containers:
  - name: php
    image: myos:php-fpm
    resources:
      requests:
        cpu: "1500m"

验证非抢占优先

  • 所有 Pod 创建在 node-0002 上
  1. 创建 php1，该 Pod 使用默认优先级，cpu1500m
  2. 创建 php2，该 Pod 使用低优先级，cpu=1500m
  3. 创建 php3，该 Pod 使用高优先级，cpu=1500m
  4. 删除状态为 Running的 Pod
  5. 验证队列中被优先创建出来的 Pod 是谁
  • 实验完成以后删除所有自定义优先级
[root@master ~]# kubectl apply -f php1.yaml 
pod/php1 created
[root@master ~]# kubectl apply -f php2.yaml 
pod/php2 created
[root@master ~]# kubectl apply -f php3.yaml 
pod/php3 created
[root@master ~]# kubectl get pods
NAME   READY   STATUS    RESTARTS   AGE
php1   1/1     Running   0          9s
php2   0/1     Pending   0          6s
php3   0/1     Pending   0          4s
[root@master ~]# kubectl delete pod php1
pod "php1" deleted
[root@master ~]# kubectl get pods
NAME   READY   STATUS    RESTARTS   AGE
php2   0/1     Pending   0          20s
php3   1/1     Running   0          18s

# 清理实验 Pod
[root@master ~]# kubectl delete pod php2 php3
pod "php2" deleted
pod "php3" deleted

4  抢占优先级

定义优先级资源对象

  • 创建一个 value 为1000 的优先级对象
  • 设置抢占策略 PreemptLowerPriority
  • 创建一个 value 为500 的优先级对象
  • 设置抢占策略 PreemptLowerPriority
[root@master ~]# vim mypriority.yaml
---
kind: PriorityClass
apiVersion: scheduling.k8s.io/v1
metadata:
  name: high-non
preemptionPolicy: Never
value: 1000

---
kind: PriorityClass
apiVersion: scheduling.k8s.io/v1
metadata:
  name: low-non
preemptionPolicy: Never
value: 500

---
kind: PriorityClass
apiVersion: scheduling.k8s.io/v1
metadata:
  name: high
preemptionPolicy: PreemptLowerPriority
value: 1000

---
kind: PriorityClass
apiVersion: scheduling.k8s.io/v1
metadata:
  name: low
preemptionPolicy: PreemptLowerPriority
value: 500

[root@master ~]# kubectl apply -f mypriority.yaml 
priorityclass.scheduling.k8s.io/high created
priorityclass.scheduling.k8s.io/low created
[root@master ~]# kubectl get priorityclasses.scheduling.k8s.io  
NAME                      VALUE        GLOBAL-DEFAULT   AGE
high                      1000         false            4s
high-non                  1000         false            2h
low                       500          false            4s
low-non                   500          false            2h
system-cluster-critical   2000000000   false            21d
system-node-critical      2000001000   false            21d

验证抢占优先级

  • 所有 Pod 创建在 node-0002 上，CPU 配额 1500m
  • 创建 php1，该 Pod 使用默认优先级
  • 创建 php2，该 Pod 使用高优先级 (1000)，使用非抢占策略
  • 创建 php3，该 Pod 使用低优先级 (500)，使用抢占策略
  • 最终处于 Running状态的 Pod 是那个?
# 替换优先级策略
[root@master ~]# sed 's,-non,,' -i php?.yaml

# 默认优先级 Pod
[root@master ~]# kubectl apply -f php1.yaml 
pod/php1 created
[root@master ~]# kubectl get pods
NAME   READY   STATUS    RESTARTS   AGE
php1   1/1     Running   0          6s

# 高优先级 Pod
[root@master ~]# kubectl apply -f php3.yaml
pod/php3 created
[root@master ~]# kubectl get pods
NAME   READY   STATUS    RESTARTS   AGE
php3   1/1     Running   0          9s

# 低优先级 Pod
[root@master ~]# kubectl apply -f php2.yaml
pod/php2 created
[root@master ~]# kubectl get pods
NAME   READY   STATUS    RESTARTS   AGE
php2   0/1     Pending   0          3s
php3   1/1     Running   0          9s

# 清理实验 Pod
[root@master ~]# kubectl delete pod --all
pod "php2" deleted
pod "php3" deleted
[root@master ~]# kubectl delete -f mypriority.yaml 
priorityclass.scheduling.k8s.io "high-non" deleted
priorityclass.scheduling.k8s.io "low-non" deleted
priorityclass.scheduling.k8s.io "high" deleted
priorityclass.scheduling.k8s.io "low" deleted

四  Pod安全

1  特权容器

<1> 概述

容器是通过名称空间技术隔离的，有时候我们执行一些应用服务，需要使用或修改敏感的系统信息，这时容器需要突破隔离限制，获取更高的权限，这类容器统称特权容器。

运行特权容器会有一些安全风险，这种模式下运行容器对宿主机拥有root 访问权限，可以突破隔离直接控制宿主机的资源配置

<2> 案例

更改容器主机名 和 /etc/hosts 文件

[root@master ~]# vim root.yaml
---
kind: Pod
apiVersion: v1
metadata:
  name: root
spec:
  hostname: myhost         # 修改主机名
  hostAliases:             # 修改 /etc/hosts
  - ip: 192.168.1.30       # IP 地址
    hostnames:             # 名称键值对
    - harbor               # 主机名
  containers:
  - name: apache
    image: myos:httpd

[root@master ~]# kubectl apply -f root.yaml 
pod/root created
[root@master ~]# kubectl exec -it root -- /bin/bash
[root@myhost html]# hostname
myhost
[root@myhost html]# cat /etc/hosts
... ...
# Entries added by HostAliases.
192.168.1.30    harbor

[root@master ~]# kubectl delete pod root 
pod "root" deleted
<3>  root特权容器
[root@master ~]# vim root.yaml
---
kind: Pod
apiVersion: v1
metadata:
  name: root
spec:
  hostPID: true            # 特权，共享系统进程
  hostNetwork: true        # 特权，共享主机网络
  containers:
  - name: apache
    image: myos:httpd
    securityContext:       # 安全上下文值
      privileged: true     # root特权容器

[root@master ~]# kubectl get pods
NAME   READY   STATUS    RESTARTS   AGE
root   1/1     Running   0          26s
[root@master ~]# kubectl exec -it root -- /bin/bash
[root@node-0001 /]# 

# 系统进程特权
[root@node-0001 /]# pstree -p
systemd(1)-+-NetworkManager(510)-+-dhclient(548)
           |                     |-{NetworkManager}(522)
           |                     `-{NetworkManager}(524)
           |-agetty(851)
           |-chronyd(502)
           |-containerd(531)-+-{containerd}(555)
           ... ...

# 网络特权
[root@node-0001 /]# ifconfig eth0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.1.51  netmask 255.255.255.0  broadcast 192.168.1.255
        ether fa:16:3e:70:c8:fa  txqueuelen 1000  (Ethernet)
        ... ...

# root用户特权
[root@node-0001 /]# mkdir /sysroot
[root@node-0001 /]# mount /dev/vda1 /sysroot
[root@node-0001 /]# mount -t proc proc /sysroot/proc
[root@node-0001 /]# chroot /sysroot
sh-4.2# : 此处已经是 node 节点上的 root 用户了

# 删除特权容器
[root@master ~]# kubectl delete pod root 
pod "root" deleted

2  Pod安全策略

<1> 概述

Pod 安全策略是集群级别的资源，它能够控制 Pod 运行的行为，以及它具有访问什么的能力。

如何使用 Pod 安全策略?

  • Kubernetes服务器版本必须不低于版本 v1.22
  • 确保 PodSecurity 特性门控被启用

PodSecurity 提供一种内置的 Pod 安全性准入控制器，作为 PodSecurityPolicies 特性的后继演化版本。Pod 安全性限制是在 Pod 被创建时，在名字空间层面实施的。

Pod 安全性标准定义了三种不同的策略 (Policy)，以广泛覆盖安全应用场景。这些策略是渐进式的，安全级别从高度宽松至高度受限。

<2> 安全策略

privileged：不受限制的策略，提供最大可能范围的权限许可。此策略允许特权提升

baseline：弱限制性的策略，禁止已知的策略提升权限。允许使用默认的 Pod配置

restricted：非常严格的限制性策略，遵循当前的保护 Pod的最佳实践

<3> Pod准入控制标签

Kubernetes 定义了一组标签，你可以设置这些标签来定义某个名字空间上 Pod 安全性标准级别。你所选择的标签定义了检测到潜在违例时，所要采取的动作。

enforce：策略违例会导致 Pod 被拒绝

audit：策略违例会触发审计日志，但是 Pod 仍可被接受

warn：策略违例会触发用户可见的警告信息，但是 Pod 仍是被接受的

<4> 案列

创建 myprod、mytest 名称空间

  • 为 myprod 设置安全策略，拒绝特权容器
  • 为 mytest 设置安全策略，在建特权容器时发出警告
# 生产环境设置严格的准入控制
[root@master ~]# kubectl create namespace myprod
namespace/myprod created
[root@master ~]# kubectl label namespaces myprod pod-security.kubernetes.io/enforce=restricted
namespace/myprod labeled

# 测试环境测试警告提示
[root@master ~]# kubectl create namespace mytest
namespace/mytest created
[root@master ~]# kubectl label namespaces mytest pod-security.kubernetes.io/warn=baseline
namespace/mytest labeled

# 创建特权容器
# myprod 无法创建特权容器
[root@master ~]# kubectl -n myprod apply -f root.yaml 
Error from server (Failure): error when creating "root.yaml": host namespaces (hostNetwork=true, hostPID=true), privileged (container "linux" must not set securityContext.privileged=true), allowPrivilegeEscalation != false (container "linux" must set securityContext.allowPrivilegeEscalation=false), unrestricted capabilities (container "linux" must set securityContext.capabilities.drop=["ALL"]), runAsNonRoot != true (pod or container "linux" must set securityContext.runAsNonRoot=true), seccompProfile (pod or container "linux" must set securityContext.seccompProfile.type to "RuntimeDefault" or "Localhost")
[root@master ~]# 
[root@master ~]# kubectl -n myprod get pods
No resources found in myprod namespace.

# mytest 创建特权容器
[root@master ~]# kubectl -n mytest apply -f root.yaml                                    
Warning: would violate "latest" version of "baseline" PodSecurity profile: host namespaces (hostNetwork=true, hostPID=true), privileged (container "linux" must not set securityContext.privileged=true)
pod/root created
[root@master ~]# 
[root@master ~]# kubectl -n mytest get pods               
NAME   READY   STATUS    RESTARTS   AGE
root   1/1     Running   0          7s
[root@master ~]#

3  安全的Pod

[root@master ~]# vim nonroot.yaml
---
kind: Pod
apiVersion: v1
metadata:
  name: nonroot
spec:
  restartPolicy: Always
  containers:
  - name: php
    image: myos:php-fpm
    securityContext:
      allowPrivilegeEscalation: false
      runAsNonRoot: true
      runAsUser: 65534
      seccompProfile:
        type: "RuntimeDefault"
      capabilities:
        drop: ["ALL"]

[root@master ~]# kubectl -n myprod apply -f nonroot.yaml 
pod/nonroot created
[root@master ~]# kubectl -n myprod get pods
NAME      READY   STATUS    RESTARTS   AGE
nonroot   1/1     Running   0          6s
[root@master ~]# kubectl -n myprod exec -it nonroot -- id
uid=65534(nobody) gid=65534(nobody) groups=65534(nobody)

4  清理实验配置，删除 Pod

久 一
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
kubernetes - Pod污点、容忍策略、抢占与优先级、特权容器、pod安全
m0_59324564的博客
10-29 382
在资源对象文件中定义了一些特殊功能的容器，称为特权容器。
kubernetes管理容器——taint（污点）的使用
weixin_43831132的博客
05-14 2057
注意：如果一个节点（node/worker）被我们定义了污点（taint），则所有的容器不能“容忍”此污点，所以也不会在此节点运行容器，即使我们用标签指定了某容器在此节点运行，那么容器的状态也会一直持续“Pending”状态 查询node的污点是否存在： kubectl describe nodes 节点 | grep Tain 一、定义污点 1、此时我们发现污点不存在，为none的状态 2、接下来自定义一个污点，默认格式为keyXXX=valueXXX:NoSchedule #XXX为自定义内容 3
容器亲和、反亲和、污点、容忍以及驱逐的介绍
张军伟的技术博客
08-31 928
容器亲和、反亲和、污点、容忍以及驱逐的介绍
k8s集群节点和容器进行污点限制
weixin_45112997的博客
06-20 289
k8s集群节点和容器进行污点限制
污点分析技术
weixin_44442186的博客
03-03 1万+
目录 污点分析技术 基本原理 识别污点源和汇聚点 污点传播分析 污点传播分析的关键技术 污点分析方法实现 污点分析在实际应用中的关键技术 总结 参考文献 污点分析技术 基本原理 污点分析定义 污点分析可以抽象成一个三元组<sources,sinks,sanitizers>的形式，其中，source 即污点源，代表直接引入不受信任的数据或者机密数据到系统中；sink 即污点汇聚点，代表直接产生安全敏感操作(违反数据完整性)或者泄露隐私数据到外界(违反数据保密性)；sa..
kubernetes生产级别的容器编排系统-其他
06-12
Kubernetes 是一个开源的容器编排引擎，用来对容器化应用进行自动化部署、 扩缩和管理。该项目托管在 CNCF。 Kubernetes 特性： 自动化上线和回滚 Kubernetes 会分步骤地将针对应用或其配置的更改上线，同时监视应用...
DOCKER 学习笔记9 Kubernetes (K8s) 生产级容器编排 上
01-07
前言 在上一节的学习中。我们已经可以通过最基本的 Docker Swarm 创建集群，然后在集群里面加入我们需要运行的任务 以及任务的数量 这样...Kubernetes是Google开源的一个容器编排引擎，它支持自动化部署、大规模可伸缩
Docker 容器编排利器Compose（起步篇）
09-30
主要介绍了Docker 容器编排利器Compose（起步篇），小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
Docker数据卷和容器编排的使用
09-29
Docker数据卷和容器编排是容器化技术中非常重要的两个概念。数据卷是用于数据持久化和数据共享的机制，而容器编排则涉及到如何管理和协调多个容器的运行，以保证复杂应用的高可用性和伸缩性。 首先，数据卷是Docker...
容器化到容器编排之旅
02-24
容器带来了更高级的服务端架构和更复杂的部署技术。目前已经有一堆类似标准的规范（1,2,3,4,……）描述了容器领域的方方面面。当然，它的底层是Linux的基本单元，如namespace和cgroups。容器化软件已经变得非常的...
K8S（七）—污点、容忍
qq_51010919的博客
12-13 904
污点是一种节点级别的属性，它告诉Kubernetes哪些节点不适合运行特定类型的Pod。节点上的污点可以阻止Pod被调度到不适合的节点上。
kubernetes调度——(节点亲和、容器亲和性、污点与容忍、停止调度)
Aimee_c的博客
07-03 3813
文章目录1. 1. 调度器通过 kubernetes 的 watch 机制来发现集群中新创建且尚未被调度到 Node 上的 Pod。调度器会将发现的每一个未调度的 Pod 调度到一个合适的 Node 上来运 行。 • kube-scheduler 是 Kubernetes 集群的默认调度器，并且是集群控制面的一部分。 如果你真的希望或者有这方面的需求，kube-scheduler 在设计上是允许你自己写一 个调度组件并替换原有的 kube-scheduler。 • 在做调度决定时需要考虑的因素包括：单独和整
Kubernetes ：Taints(污点)和Tolerations(容忍)分析操作
Jerry00713的博客
02-19 850
一、环境搭建 使用一开始nginx:v1.7.9 创建deployment [root@hdss7-21 ~]# kubectl create deployment nginx-dp --image=harbor.od.com:180/public/nginx:v1.7.9 -n kube-system deployment.apps/nginx-dp created [root@hdss7-21 ~]# kubectl get pods -o wide -n kube-system |grep .
K8S 污点使用方法示例
热门推荐
happyzwh的专栏
04-11 1万+
流程： node打上污点（可以想象成一个标签）,pod如果不定义容忍这个污点，那么pod就不会被调度器分配到这个node 操作命令： 1. node打上污点方法 的三种类型以及介绍 Shell 1 2 3 kubectl taint nodes node1 key=value:NoSchedule kubectl taint n...
k8s之Taints与Tolerations(污点和容忍)
须尽欢的博客
07-12 1865
一 解释： NodeAffinity节点亲和性，是Pod上定义的一种属性，使Pod能够按我们的要求调度到某个Node上，而Taints则恰恰相反，它可以让Node拒绝运行Pod，甚至驱逐Pod。 Taints(污点)是Node的一个属性，设置了Taints(污点)后，因为有了污点，所以Kubernetes是不会将Pod调度到这个Node上的， 于是Kubernetes就给Pod设置了个属性Tole...
Kubernetes的污点和容忍（上篇）
xiexiaojing的博客
03-15 3239
背景搭建了一个k8s(Kubernetes)的事件监听服务，监听事件之后对数据做处理。有天报了一个问题经调查是新版本的k8s集群添加会把unschedule等信息通过污点...
K8S 污点和容忍度
会哭的雨@的博客
01-28 2436
污点和容忍度 节点亲和性（详见这里） 是Pod的一种属性，它使 Pod 被吸引到一类特定的节点。 这可能出于一种偏好，也可能是硬性要求。 Taint（污点）则相反，它使节点能够排斥一类特定的 Pod。 容忍度（Tolerations）是应用于 Pod 上的，允许（但并不要求）Pod 调度到带有与之匹配的污点的节点上。 污点和容忍度（Toleration）相互配合，可以用来避免 Pod 被分配到不合适的节点上。 每个节点上都可以应用一个或多个污点，这表示对于那些不能容忍这些污点的 Pod，是不会被该..
Element学习（布局组件、案例操作）（4）
m0_74363339的博客
08-08 458
value：表示输入的值，提交表单后传给服务器的值——>"男"表示1，"女"表示2。定义数据模型时，对象要使用大括号。像这里searchForm: {....}3、这一步之后的效果展示（只是空有一个布局——>目前还没有任何的内容）2、找到这种布局对应的代码（复制——>粘贴到标签<div>中）5、 在主展示区域的上方添加"员工查询"的（且独占一行）表单。还有一个当点击"查询"按钮时，会触发一个方法，也要去声明。7、给表格增加一个边框——>加入border属性即可。6、日期选择器——>(官网中组件中找)
OrangePi AIpro学习5 —— 模型推理程序开发
最新发布
HuanBianCheng27的博客
08-13 1066
本章讲解Resnet50模型如何运行在昇腾芯片上，如何对图片进行推理
Google Kubernetes架构：容器编排与管理
"Arhiteture_f_Kubernetes.pdf 涉及了Google对容器技术的长期使用以及Kubernetes作为容器编排系统的介绍。文件强调了Google在容器化应用管理方面的经验，以及Kubernetes的设计理念和核心概念。" Kubernetes，源自...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值