ユーザーのコードを実行するコンテナがあります。セキュリティを強化するために、サービスアカウントメカニズムを使ってkubernetes apiにアクセスできないようにしたいが、それをグローバルにオフにしたくない。ドキュメントでは、サービスアカウント名を別の有効な名前に切り替えることができると記載されています。私が逃した選択肢はありますか?アカウントにアクセス権が0に制限できますか?あなたは空ではない別のボリュームでボリュームを上書きできますか?他のアイデア?コンテナを無効にするサービスアカウント
3
A
答えて
3
最も簡単なハックは、serviceAccountシークレットがマウントされている場所にemptyDirをマウントすることです。何かのように:
containers:
- name: running-user-code
image: something-i-dont-trust
volumeMounts:
- mountPath: /var/run/secrets/kubernetes.io/serviceaccount
name: no-api-access-please
readOnly: true
volumes:
- name: no-api-access-please
emptyDir: {}
潜在的な解決策にKubernetes Issue #16779でより多くの議論がある(と私はからemptyDir例を盗んだところです)。
2
サービスアカウントはAPIに対してのみ認証されますが、本来読み取りまたは書き込みAPIアクションを実行する権限はありません。
あなたが(任意の認証済みのAPIのユーザーの完全な読み取り/書き込みアクセスを提供します)AlwaysAllow以外の認証モードで実行してクラスタを、確保したい、と選択的に特定のサービスアカウントまたは名前空間
Kubernetesで
2
に権限を付与した場合1.6+、あなたはポッドに実装するサービスアカウントを無効にすることができます
apiVersion: v1
kind: Pod
metadata:
name: my-pod
spec:
automountServiceAccountToken: false
...
はhttps://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/
を参照してください。関連する問題
- 1. Docker-Composeで1つのコンテナのログを無効にする
- 2. ブートストラップ4はコンテナ内でnavbar-collapseを無効にする
- 3. ドッキング・コンテナ内のホスト・ファイルを無効にする
- 4. 命名コンテナのIDを無効にする/無効にする方法コンテンツページのコントロールIDの生成
- 5. Google Cloud Vision API - サービスアカウントを有効にする方法
- 6. Dojo divコンテナ内のすべての入力フィールドを無効にする
- 7. C#でサービスアカウントを使用してGoogle APIにログインする方法 - 無効な資格情報
- 8. リフトを無効にするリフトを無効にする
- 9. ToolStripMenuItemを無効にするかMenuStrip.Itemを無効にする
- 10. ズームコントロールを無効にするピンチズームを無効にする
- 11. hrefを無効にする方法と無効にする
- 12. CSS:、コンテナの選択無効(Firefoxで動作していない)子に有効
- 13. 無効なELFヘッダxgboost(Dockerコンテナ内のpklを使用)
- 14. 一時的なコンテナでスワップした後にイテレータが無効になる
- 15. Firebase "新しいエラーをスローする( '無効なサービスアカウントが提供されました');エラーメッセージ
- 16. ボタンを無効にして無効にする
- 17. フォームラジオボタングループを無効/有効にする
- 18. チェックボックスを有効/無効にする
- 19. autolayout NSLayoutConstraintsを有効/無効にする
- 20. Android ActionBar.Tabを有効/無効にする
- 21. UISegmentedControlを有効/無効にする
- 22. @ConditionalOnExpression @RestControllerを有効/無効にする
- 23. リボンボタンを有効/無効にする
- 24. ファイヤーベースリスナを有効/無効にする
- 25. フォームコンテンツを無効/有効にする
- 26. DOMMouseScrollマウスホイールを有効/無効にする
- 27. コンポーネントサービス - パーティションを有効にする - 無効
- 28. ポインタを無効にするポインタの配列が無効です
- 29. フォームボタンを無効にする
- 30. アンカージャンプを無効にする