国产xxxx99真实实拍_久久不雅视频_高清韩国a级特黄毛片_嗯老师别我我受不了了小说

資訊專欄INFORMATION COLUMN

kubernetes中的Admission Controllers

keithxiaoy / 2715人閱讀

摘要：如果有一個(gè)準(zhǔn)入控制拒絕了此次請(qǐng)求，那么整個(gè)請(qǐng)求的結(jié)果將會(huì)立即返回，并提示用戶相應(yīng)的信息。

這是啥

準(zhǔn)入控制admission controller本質(zhì)上一段代碼，在對(duì)kubernetes api的請(qǐng)求過(guò)程中，順序?yàn)?先經(jīng)過(guò) 認(rèn)證 & 授權(quán)，執(zhí)行準(zhǔn)入操作，在對(duì)目標(biāo)對(duì)象進(jìn)行操作。這個(gè)準(zhǔn)入代碼在apiserver中，而且必須被編譯到二進(jìn)制文件中才能被執(zhí)行。

在對(duì)集群進(jìn)行請(qǐng)求時(shí)，每個(gè)準(zhǔn)入控制代碼都按照一定順序執(zhí)行。如果有一個(gè)準(zhǔn)入控制拒絕了此次請(qǐng)求，那么整個(gè)請(qǐng)求的結(jié)果將會(huì)立即返回，并提示用戶相應(yīng)的error信息。

在某些情況下，為了適用于應(yīng)用系統(tǒng)的配置，準(zhǔn)入邏輯可能會(huì)改變目標(biāo)對(duì)象。此外，準(zhǔn)入邏輯也會(huì)改變請(qǐng)求操作的一部分相關(guān)資源。

為什么需要？

在kubernetes中，一些高級(jí)特性正常運(yùn)行的前提條件為，將一些準(zhǔn)入模塊處于enable狀態(tài)。總結(jié)下，對(duì)于kubernetes apiserver，如果不適當(dāng)?shù)呐渲脺?zhǔn)入控制模塊，他就不能稱作是一個(gè)完整的server，某些功能也不會(huì)正常的生效。

如何開啟一個(gè)準(zhǔn)入模塊

在kubernetes apiserver中有一個(gè)參數(shù)：admission_control，他的值為一串用逗號(hào)連接的 有序的 準(zhǔn)入模塊列表，設(shè)置后，就可在對(duì)象唄操作前執(zhí)行一定順序的準(zhǔn)入模塊調(diào)用。

每個(gè)準(zhǔn)入模塊都干了啥 AlwaysAdmit

對(duì)所有請(qǐng)求開綠燈。

AlwaysDeny

對(duì)所有請(qǐng)求開紅燈，多用于測(cè)試環(huán)境。

DenyExecOnPrivileged

它會(huì)攔截所有想在privileged container上執(zhí)行命令的請(qǐng)求。
如果自己的集群支持privileged container，自己又希望限制用戶在這些privileged container上執(zhí)行命令，那么強(qiáng)烈推薦使用它。

ServiceAccount

這個(gè)plug-in將 serviceAccounts實(shí)現(xiàn)了自動(dòng)化，如果想要使用ServiceAccount 對(duì)象，那么強(qiáng)烈推薦使用它。
關(guān)于serviceAccount的描述如下：

  
一個(gè)serviceAccount為運(yùn)行在pod內(nèi)的進(jìn)程添加了相應(yīng)的認(rèn)證信息。當(dāng)準(zhǔn)入模塊中開啟了此插件（默認(rèn)開啟），那么當(dāng)pod創(chuàng)建或修改時(shí)他會(huì)做一下事情：


  

如果pod沒有serviceAccount屬性，將這個(gè)pod的serviceAccount屬性設(shè)為“default”；



確保pod使用de serviceAccount始終存在；

  
如果LimitSecretReferences 設(shè)置為true，當(dāng)這個(gè)pod引用了Secret對(duì)象卻沒引用ServiceAccount對(duì)象，棄置這個(gè)pod；

  
如果這個(gè)pod沒有包含任何ImagePullSecrets，則serviceAccount的ImagePullSecrets被添加給這個(gè)pod；

  
如果MountServiceAccountToken為true，則將pod中的container添加一個(gè)VolumeMount 。
SecurityContextDeny

這個(gè)插件將會(huì)將使用了 SecurityContext的pod中定義的選項(xiàng)全部失效。
關(guān)于 SecurityContext的描述：

  
SecurityContext 在container中定義了操作系統(tǒng)級(jí)別的安全設(shè)定（uid, gid, capabilities, SELinux等等）。
ResourceQuota

它會(huì)觀察所有的請(qǐng)求，確保在namespace中ResourceQuota對(duì)象處列舉的container沒有任何異常。如果在kubernetes中使用了ResourceQuota對(duì)象，就必須使用這個(gè)插件來(lái)約束container。

推薦在admission control參數(shù)列表中，這個(gè)插件排最后一個(gè)。

LimitRanger

他會(huì)觀察所有的請(qǐng)求，確保沒有違反已經(jīng)定義好的約束條件，這些條件定義在namespace中LimitRange對(duì)象中。如果在kubernetes中使用LimitRange對(duì)象，則必須使用這個(gè)插件。

NamespaceExists

它會(huì)觀察所有的請(qǐng)求，如果請(qǐng)求嘗試創(chuàng)建一個(gè)不存在的namespace，則這個(gè)請(qǐng)求被拒絕。

有推薦的插件順序嗎？

有！

--admission_control=NamespaceLifecycle,NamespaceExists,LimitRanger,SecurityContextDeny,ServiceAccount,ResourceQuota

文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請(qǐng)注明本文地址：http://specialneedsforspecialkids.com/yun/32437.html

相關(guān)文章

  • Kubernetes持續(xù)集成：Jenkins關(guān)于java.nio.file.NoSuchFileEx

    摘要：嘗試運(yùn)行腳本發(fā)生了的錯(cuò)誤。錯(cuò)誤信息接下來(lái)就是，天的調(diào)查，關(guān)于這個(gè)錯(cuò)誤的能查到的資料幾乎沒有，也嘗試了很多方法，無(wú)果非常煎熬。問(wèn)題解決了參考文檔初試使用完成持續(xù)構(gòu)建與發(fā)布集群安全配置 背景 為了使用Kubernetes管理并自動(dòng)化部署應(yīng)用程序，領(lǐng)導(dǎo)糾結(jié)了幾個(gè)同事搭了一個(gè)Kubernetes集群環(huán)境。不過(guò)，為了減少?gòu)?fù)雜度，采用了非官方推薦的方式： API Server使用http方式 不...

    tomener 評(píng)論0 收藏0

  • Kubernetes 1.7：從完善容器編排功能到落地商業(yè)應(yīng)用新跨越！

    摘要：新功能版本增加了安全性有狀態(tài)的應(yīng)用程序和可擴(kuò)展性等功能。網(wǎng)絡(luò)已從升級(jí)到新的組。 ?根據(jù) Kubernetes Google Group 產(chǎn)品經(jīng)理 Aperna Sinha 和 Kubernetes Mirantis 項(xiàng)目經(jīng)理 Ihor Dvoretskyi 的說(shuō)法，Kubernetes 1.7 中的 API aggregation 功能使用戶可以在運(yùn)行時(shí)添加自定義的 API 服務(wù)器，與...

    big_cat 評(píng)論0 收藏0

  • kubernetes Admission Controller 原理介紹

    摘要：介紹干的最重要的三個(gè)事就是認(rèn)證看是否是合法用戶授權(quán)看用戶具備哪些權(quán)限一個(gè)調(diào)用鏈，對(duì)請(qǐng)求進(jìn)行控制或修改，比如是否允許這個(gè)請(qǐng)求。把這個(gè)服務(wù)起一個(gè)這樣就可以自動(dòng)發(fā)現(xiàn)它。是基于開發(fā)平臺(tái)的利器更多精彩 Admission Controller介紹 Apiserver干的最重要的三個(gè)事就是： 認(rèn)證 : 看是否是合法用戶 授權(quán) : 看用戶具備哪些權(quán)限 admission controller : ...

    Leo_chen 評(píng)論0 收藏0

  • kubernetes Admission Controller 原理介紹

    摘要：介紹干的最重要的三個(gè)事就是認(rèn)證看是否是合法用戶授權(quán)看用戶具備哪些權(quán)限一個(gè)調(diào)用鏈，對(duì)請(qǐng)求進(jìn)行控制或修改，比如是否允許這個(gè)請(qǐng)求。把這個(gè)服務(wù)起一個(gè)這樣就可以自動(dòng)發(fā)現(xiàn)它。是基于開發(fā)平臺(tái)的利器更多精彩 Admission Controller介紹 Apiserver干的最重要的三個(gè)事就是： 認(rèn)證 : 看是否是合法用戶 授權(quán) : 看用戶具備哪些權(quán)限 admission controller : ...

    AlphaWatch 評(píng)論0 收藏0

  • 基于kubernetes的docker集群實(shí)踐

    摘要：健康監(jiān)控檢查，可以說(shuō)是集群中最重要的一部分了。我們?cè)谶@里沒有使用推薦的方式，我們自己將其與內(nèi)部的系統(tǒng)做了結(jié)合，通過(guò)來(lái)對(duì)整個(gè)集群進(jìn)行監(jiān)控報(bào)警自動(dòng)化操作。 在公司內(nèi)部，基于kubernetes實(shí)現(xiàn)了簡(jiǎn)單的docker應(yīng)用集群系統(tǒng)，拿出來(lái)和大家分享下，在這個(gè)系統(tǒng)中，實(shí)現(xiàn)了應(yīng)用的自動(dòng)部署、動(dòng)態(tài)擴(kuò)容、節(jié)點(diǎn)切換、健康檢查、AB式版本更新等功能，也歡迎大家將各自的實(shí)現(xiàn)也分享給我。 整體架構(gòu) 整體架構(gòu)...

    meislzhua 評(píng)論0 收藏0

發(fā)表評(píng)論

0條評(píng)論

最新活動(dòng)
閱讀需要支付1元查看
<