如何防止pods在同一命名空间中挂载secrets？
在Kubernetes中，可以通过以下方式来防止Pods在同一命名空间中挂载Secrets：
- 使用RBAC（Role-Based Access Control）：RBAC允许管理员为用户和服务账号授予适当的权限。通过创建绑定角色和角色绑定组，可以限制哪些账号有权访问命名空间中的Secrets。只给予需要访问Secrets的账号相应的角色权限，从而确保只有授权的实体能够挂载Secrets。
- 使用命名空间资源限制：Kubernetes中的命名空间可以设置资源限制，包括CPU、内存和存储等。通过限制每个Pod可以使用的资源数量，可以间接地限制Pod可以挂载的Secrets数量。这可以通过在命名空间中设置合适的资源限制来实现。
- 使用Network Policies：Network Policies允许管理员定义允许或拒绝Pod之间的网络通信规则。通过设置网络策略，可以限制其他Pod与挂载了Secrets的Pod之间的通信。这可以防止未经授权的Pod访问Secrets。
- 使用其他安全机制：除了上述方法，还可以结合使用其他安全机制来进一步加强安全性。例如，可以使用加密技术对Secrets数据进行加密保护，确保只有授权的Pod能够解密和使用这些Secrets。同时，还可以使用安全审计工具对访问Secrets的行为进行监控和审计，以及及时检测和响应潜在的安全威胁。
推荐的腾讯云相关产品和产品介绍链接地址：
相关·内容
我的命名空间包含多个secrets和pods。使用部署规范有选择地将密钥作为卷安装在pod上。是否可以拒绝将特定的秘密作为卷挂载到某些pod中。我测试过RBAC，它阻止pods通过api访问机密。考虑到允许所有机密挂载在同一命名空间的pod中存在安全风险，是否有类似的挂载机密机制。
浏览 13提问于2020-04-30得票数 0
回答已采纳
我们正在尝试创建不同的kuberentes秘密，并通过分配给pods的特定服务帐户提供对特定秘密的访问。kuberentes资源(即ServiceAccount、角色、RoleBinding)来设置所有这些内容，但我们意识到这可能并不是真正的强制执行，因为Transaction-Service-Pod可以在Pod我们如何实际执行RBAC系统？
仅供参考，我们正在使用EKS
浏览 1提问于2020-07-28得票数 1
我正在尝试弄清楚如何为开发集群组织K8s名称空间。在单个名称空间中有大量的pod(大约100-200个)。这种方法有没有优点或缺点？
浏览 5提问于2018-11-06得票数 3
2回答
我目前正在寻找一些在linux中理解CLONE_NEWNS的示例，因此我做了以下实验：$ mkdir mnt# mount/dev/sda5 mnt/lost+found$ ls mnt我希望shell2中的输出应该是空的，因为CLONE_NEWNS将像文档所说的那样创建一个新的挂载命名空间首先，我认为孩子的<
浏览 2提问于2013-03-28得票数 0
我想知道是否可以引用名称空间中的serviceAccountName: "test-sa" (名称空间n2 )，例如在名称空间n1中创建状态集。
浏览 6提问于2021-01-31得票数 0
回答已采纳
如果它是否重新启动，我需要和它沟通。因为根据情况，我的应用程序的工作方式不同(有状态的应用程序)。我不想创建其他的荚运行一种看门狗，然后通知我的应用程序是否重新启动(故障后)。但是也许有一种方法可以用Kubernetes组件(Kubelet，.)。
浏览 3提问于2020-05-29得票数 0
回答已采纳
我的应用程序由三个不同的pod (Web、API和DB)和一个PV组成，这些pod将在它们自己的命名空间中运行。这些pods使用自定义Helm脚本进行部署。NampesaceN: WebN, APIN, DBN and PVN现在，我希望在同一个worker上调度所有相关的pod(来自一个名称空间)。我不关心它们调度在哪个worker上，但它们都应该在挂载PV的同一worker上运行
浏览 22提问于2021-02-28得票数 0
创建用户指定的托管标识，并将其分配给节点池，即为AKS.Installed CSI驱动程序舵图创建的"kube-system"命名空间中的VMSS。并完成了执行此operations.Created的所有要求-- TLS证书和密钥.通过使用TLS证书和密钥，创建了在AKV证书中命名为"ingresscert".Created的“ingresscert”.Created新命名空间中的.pfx文件，该名称空间中命名为
浏览 6提问于2021-11-29得票数 2
回答已采纳
正如在中所描述的那样，我试图在自己托管的gitlab实例中访问kubernetes集群。"gitlab-registry" is forbidden: User "system:serviceaccount:gitlab:default" cannot get resource "secrets更新apiVersion: v1
cl
浏览 12提问于2021-09-15得票数 5
回答已采纳
可以，/etc/hosts在追加或编辑后仍在挂载。Shell1下的/etc/host仍然是预期的旧版本，因为挂载是--make-private。shell1中的/etc/host的步骤中，当我使用echo '127.0.0.1 aaaa' >> /etc/hosts而不是使用vim编辑和保存时，新命名空间中的/etc/hosts不会受到影响。那么，我的问题是为什么我在
浏览 0提问于2021-01-16得票数 0
回答已采纳
ip netns exec命令如何创建挂载命名空间并防止更改传播到其他挂载命名空间？ip netns exec通过创建挂载命名空间并将每个网络命名空间配置文件绑定到它们在/etc中的传统位置，从而自动处理此配置、网络命名空间未知应用程序的文件约定。但是，它如何管理绑定挂载仅在特定名称空间中可见？
让我举个例子。在一个终
浏览 2提问于2017-08-11得票数 4
回答已采纳
1回答
我一直在尝试使用Rancher将我的SimpleLogin码头容器转换为Kubernetes。然而，其中一个步骤要求我创建一个网络。docker network create -d bridge \--gateway=240.0.0.1 \我真的想不出办法在Kubernetes如何在Kubernetes中建立类似上述命令的等效网络？
如果你想要更多关于这个网络应该做什么的信息，你可以找到它。
浏览 0提问于2020-07-05得票数 0
回答已采纳
在同一个集群上并行使用helm 2和helm 3有什么问题吗？ 背后的原因是，Terraform helm提供程序仍然不能用于helm 3。但是对于另一个应用程序，我们希望继续使用helm 3。
浏览 56提问于2020-01-29得票数 2
回答已采纳
1回答
在Typescript 2.4+中，您可以在同一名称下声明枚举类型和命名空间。在命名空间中，您可以编写静态函数。我们如何防止这种情况发生？
浏览 15提问于2019-05-30得票数 2
我目前有多个NFS服务器Pod在不同的名称空间中运行(每个名称空间一个副本)。我每个命名空间都有一个Service来包装这个Pod，只是为了有一个固定的端点。永久卷使用固定终结点连接到此服务器，因此命名空间中的其他Pod可以使用PVC将其挂载为卷。由于我为每个NFS服务器创建了一个PV，如何防止未绑定到属于同一名称空间的PVC的PV从该服务器读取。不幸的是，部署在K8s中的应用程序目前有一个字段，用户可以在其中提供任
浏览 30提问于2021-07-23得票数 0
3回答
是否更好地将所有这些服务拖到一个名为production的惟一名称空间中？还是我需要按服务把它们分开？谢谢你的帮助，图克斯工艺
浏览 4提问于2021-06-17得票数 0
我的理解是，由于pod被定义为一组容器，在这些容器之间提供诸如存储和网络之类的共享资源，那么它是否可以被看作是工作节点中的一个名称空间，也就是说，不同的荚在工作节点机器中表示不同的名称空间？
浏览 0提问于2018-12-18得票数 1
回答已采纳
我正在创建一个代理服务，它接受网络调用，并可以在同一pod中的任何其他容器中触发命令。当然，这不是pod的常见用例，但我知道一些CI工具会做类似的事情，比如Jenkins和Kubernetes插件。为了让代理拥有kubectl exec访问权限，它需要拥有对pod/exec的特权，这使它能够访问同一名称空间中的所有pod。rules: resources: ["pods", "pods&#
浏览 0提问于2020-08-23得票数 2
作为其中的一部分，我需要将/proc私有挂载到内部命名空间。我意识到，为了实现这一点，我必须以特定的权限运行容器，但我更愿意启用最小的集合。
浏览 0提问于2018-02-14得票数 9
回答已采纳
我已经在的维基上搜索过了，也尝试过在互联网上搜索"apparmor mount namespace“(或类似的名称空间)。然而，我总是对AppArmor如何处理它们一无所知，考虑到没有挂载名称空间就不能存在OCI容器，这特别奇怪。AppArmor是否会将挂载名称空间放入任何帐户中，或者只是检查传递给某个syscall的文件名？如果容器内的进程切换挂载名称空间，AppArmor是否会注意到这一点，或者它只是挂载名称空间不可知，因为它并不关心？例如，如果容器进程切
浏览 9提问于2021-02-21得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
云直播活动推荐
腾讯云开发者
