Τεκμηρίωση παραδείγματος: Pod Security Admission
Στόχος
Παρακολουθήστε το Pod Security Admission σε ένα restricted Namespace με ένα επιτρεπόμενο και ένα επικίνδυνο Pod.
Τι γίνεται
Το lab ορίζει τα labels του Namespace για το επίπεδο restricted, δημιουργεί ένα επιτρεπόμενο Pod και περιλαμβάνει ένα σκόπιμα επικίνδυνο Pod με privileged και hostNetwork.
Συνήθεις εντολές
kubectl apply -f manifests/00-namespace.yaml
kubectl apply -f manifests/10-allowed-pod.yaml
kubectl apply -f manifests/90-denied-pod.yaml
kubectl get events -n psa-lab --sort-by=.lastTimestamp
Επιβεβαίωση επιτυχίας
- Το επιτρεπόμενο Pod γίνεται δεκτό.
- Το επικίνδυνο Pod απορρίπτεται ή εμφανίζει σαφή warnings.
- Τα labels του Namespace περιλαμβάνουν
pod-security.kubernetes.io/enforce: restricted.
Συνηθισμένα λάθη
- Το Cluster χρησιμοποιεί παλιότερη έκδοση Kubernetes χωρίς Pod Security Admission.
- Τα warnings παραβλέπονται επειδή ελέγχονται μόνο οι exit codes.
- Το SecurityContext ελέγχεται μόνο στον container και όχι στο Pod.