公司电子商务平台和企业网站建设和维护工作管理办法,Linux备份wordpress,成都网页制作公司,企业 办公 网站模板最近准备花一周的时间准备CKS考试#xff0c;在准备考试中发现有一个题目关于Admission。
Whats Admission
Kubernetes Admission是Kubernetes集群中一种机制#xff0c;用于控制和修改集群中的资源对象。它允许您在Kubernetes资源被创建、更新或删除之前#xff0c;对资源…最近准备花一周的时间准备CKS考试在准备考试中发现有一个题目关于Admission。
Whats Admission
Kubernetes Admission是Kubernetes集群中一种机制用于控制和修改集群中的资源对象。它允许您在Kubernetes资源被创建、更新或删除之前对资源做出预处理或修改。
Admission控制器运行在Kubernetes API服务器上拦截所有传入的请求并根据定义的策略对资源进行审查和修改。它可以用来实现各种强制策略例如强制应用标准命名约定、强制资源配额或限制、自动注入辅助容器等。
Admission控制器可以使用多种方式实现包括ValidatingAdmissionWebhook和MutatingAdmissionWebhook。ValidatingAdmissionWebhook用于对资源做出审查例如校验资源的名称和标签是否符合规范。MutatingAdmissionWebhook则可以对资源进行修改例如自动注入辅助容器。
通过使用Admission控制器您可以增强Kubernetes的安全性、可靠性和一致性并根据自己的需求对资源对象进行自定义处理。
Question 1
1. The cluster needs to be configured to scan incoming container images before running workloads. An image scanning service is already set up.
Modify the admission control configuration so that it will implicitly deny images, even if the image scanning service is unreachable. The global admission control configuration is at /etc/kubernetes/admission-control/admission-control.conf, and the specific configuration for the admission controller is at /etc/kubernetes/admission-control/imagepolicy.conf.
这段话的意思是需要对集群进行配置以便在运行工作负载之前扫描传入的容器镜像。已经设置好了一个镜像扫描服务。要修改准入控制配置使其在无法访问镜像扫描服务的情况下隐式拒绝镜像。全局准入控制配置位于/etc/kubernetes/admission-control/admission-control.conf而准入控制器的具体配置位于/etc/kubernetes/admission-control/imagepolicy.conf。
Practice
1. 首先利用ssh切换到你的master节点上去
ssh k8s-control
2. 在k8s-control中根据提供的imagepolicy.conf所在位置进行编辑设置以下内容
defaultAllow: falseQuestion 2
Add the URL of the image scanning service to the kubeconfig used by the admission controller.
The service can be reached at https://acg.trivy.k8s.webhook:8090/scan
这句话的意思是将image扫描服务的URL添加到由准入控制器使用的kubeconfig中。该服务可以通过https://acg.trivy.k8s.webhook:8090/scan访问。
Practice
在提供的imagepolicy.conf文件你会发现有以下的一段 kubeConfigFile: /etc/kubernetes/admission-control/imagepolicy_backend.kubeconfig,
/etc/kubernetes/admission-control/imagepolicy_backend.kubeconfig这就是你的kubeconfig文件
你需要咋里面修改以下内容
server: https://acg.trivy.k8s.webhook:8090/scanQuestion 3
In the kube-apiserver manifest, enable any admission control plugin(s) necessary to scan images.
There are two Pod manifests in /home/cloud_user on the CLI server. If your setup is working, no-vulns-pod.yml should pass image validation, while vulns-pod.yml should fail due to vulnerabilities.
这段话的意思是在kube-apiserver的配置文件中启用任何必要的准入控制插件来扫描镜像。
在CLI服务器的/home/cloud_user目录中有两个Pod 文件。如果您的设置正常工作no-vulns-pod.yml应该通过镜像验证而vulns-pod.yml应该由于存在漏洞而失败。
Practice
在这里就是需要将ImagePolicyWebhook给应用到kube-apiserver中
我们需要在/etc/kubernetes/manifests/kube-apiserver.yaml文件中修改如下内容
--enable-admissions-pluginsNodeRestriction,ImagePolicyWebhook验证
这里给我们在worker节点中提供了两个pod yml文件进行验证我们可以利用kubectl create -f 来验证这两个podvulns-pod.yml将不会创建成功no-vulns-pod.yml会创建成功
