2023學(xué)年完整公開(kāi)課版2AdmissionControl準(zhǔn)入控制

AdmissionControl準(zhǔn)入控制目錄什么是AdmissionControl如何使用admissioncontroller2什么是AdmissionControl3在APIServer中，程序經(jīng)過(guò)訪問(wèn)控制，在經(jīng)過(guò)認(rèn)證和授權(quán)之后就進(jìn)入了準(zhǔn)備控制AdmissionControl。Kubernetes的AdmissionControl實(shí)際上是一個(gè)準(zhǔn)入控制器(AdmissionController)插件列表，發(fā)送到APIServer的請(qǐng)求都需要經(jīng)過(guò)這個(gè)列表中的每個(gè)準(zhǔn)入控制器插件的檢查。什么是AdmissionControl4控制的類(lèi)型目前可以使用的，官方提供的插件有以下幾種，可以根據(jù)實(shí)際的情況選擇是哪一種。什么是AdmissionControl5AlwaysAdmit允許所有請(qǐng)求通過(guò)AlwaysPullImages在啟動(dòng)容器之前總是去下載鏡像，相當(dāng)于每當(dāng)容器啟動(dòng)前做一次用于是否有權(quán)使用該容器鏡像的檢查AlwaysDeny禁止所有請(qǐng)求通過(guò)，用于測(cè)試 什么是AdmissionControl6控制的類(lèi)型DenyEscalatingExec拒絕exec和attach命令到有升級(jí)特權(quán)的Pod的終端用戶(hù)訪問(wèn)。如果集中包含升級(jí)特權(quán)的容器，而要限制終端用戶(hù)在這些容器中執(zhí)行命令的能力，推薦使用此插件什么是AdmissionControl7控制的類(lèi)型ServiceAccount這個(gè)插件實(shí)現(xiàn)了serviceAccounts等等自動(dòng)化，如果使用ServiceAccount對(duì)象，強(qiáng)烈推薦使用這個(gè)插件什么是AdmissionControl8控制的類(lèi)型SecurityContextDeny將Pod定義中定義了的SecurityContext選項(xiàng)全部失效。SecurityContext包含在容器中定義了操作系統(tǒng)級(jí)別的安全選型如fsGroup，selinux等選項(xiàng)什么是AdmissionControl9控制的類(lèi)型ResourceQuota用于amespace上的配額管理，它會(huì)觀察進(jìn)入的請(qǐng)求，確保在namespace上的配額不超標(biāo)。推薦將這個(gè)插件放到準(zhǔn)入控制器列表的最后一個(gè)。ResourceQuota準(zhǔn)入控制器既可以限制某個(gè)namespace中創(chuàng)建資源的數(shù)量，又可以限制某個(gè)namespace中被Pod請(qǐng)求的資源總量。ResourceQuota準(zhǔn)入控制器和ResourceQuota資源對(duì)象一起可以實(shí)現(xiàn)資源配額管理。什么是AdmissionControl10控制的類(lèi)型LimitRanger用于Pod和容器上的配額管理，它會(huì)觀察進(jìn)入的請(qǐng)求，確保Pod和容器上的配額不會(huì)超標(biāo)。準(zhǔn)入控制器LimitRanger和資源對(duì)象LimitRange一起實(shí)現(xiàn)資源限制管理什么是AdmissionControl11控制的類(lèi)型NamespaceLifecycle當(dāng)一個(gè)請(qǐng)求是在一個(gè)不存在的namespace下創(chuàng)建資源對(duì)象時(shí)，該請(qǐng)求會(huì)被拒絕。當(dāng)刪除一個(gè)namespace時(shí)，將會(huì)刪除該namespace下的所有資源對(duì)象使用admissioncontroller12對(duì)于Kubernetes>=1.9.0，推薦配置以下插件--admission-control=NamespaceLifecycle,LimitRanger,ServiceAccount,PersistentVolumeLabel,DefaultStorageClass,DefaultTolerationSeconds,MutatingAdmissionWebhook,ValidatingAdmissionWebhook,ResourceQuota使用admissioncontroller13對(duì)于Kubernetes>=1.6.0，推薦kube-apiserver開(kāi)啟以下插件--admission-control=NamespaceLifecycle,LimitRanger,ServiceAc