2023學(xué)年完整公開課版2AdmissionControl準(zhǔn)入控制

AdmissionControl準(zhǔn)入控制目錄什么是AdmissionControl如何使用admissioncontroller2什么是AdmissionControl3在APIServer中，程序經(jīng)過訪問控制，在經(jīng)過認(rèn)證和授權(quán)之后就進入了準(zhǔn)備控制AdmissionControl。Kubernetes的AdmissionControl實際上是一個準(zhǔn)入控制器(AdmissionController)插件列表，發(fā)送到APIServer的請求都需要經(jīng)過這個列表中的每個準(zhǔn)入控制器插件的檢查。什么是AdmissionControl4控制的類型目前可以使用的，官方提供的插件有以下幾種，可以根據(jù)實際的情況選擇是哪一種。什么是AdmissionControl5AlwaysAdmit允許所有請求通過AlwaysPullImages在啟動容器之前總是去下載鏡像，相當(dāng)于每當(dāng)容器啟動前做一次用于是否有權(quán)使用該容器鏡像的檢查AlwaysDeny禁止所有請求通過，用于測試 什么是AdmissionControl6控制的類型DenyEscalatingExec拒絕exec和attach命令到有升級特權(quán)的Pod的終端用戶訪問。如果集中包含升級特權(quán)的容器，而要限制終端用戶在這些容器中執(zhí)行命令的能力，推薦使用此插件什么是AdmissionControl7控制的類型ServiceAccount這個插件實現(xiàn)了serviceAccounts等等自動化，如果使用ServiceAccount對象，強烈推薦使用這個插件什么是AdmissionControl8控制的類型SecurityContextDeny將Pod定義中定義了的SecurityContext選項全部失效。SecurityContext包含在容器中定義了操作系統(tǒng)級別的安全選型如fsGroup，selinux等選項什么是AdmissionControl9控制的類型ResourceQuota用于amespace上的配額管理，它會觀察進入的請求，確保在namespace上的配額不超標(biāo)。推薦將這個插件放到準(zhǔn)入控制器列表的最后一個。ResourceQuota準(zhǔn)入控制器既可以限制某個namespace中創(chuàng)建資源的數(shù)量，又可以限制某個namespace中被Pod請求的資源總量。ResourceQuota準(zhǔn)入控制器和ResourceQuota資源對象一起可以實現(xiàn)資源配額管理。什么是AdmissionControl10控制的類型LimitRanger用于Pod和容器上的配額管理，它會觀察進入的請求，確保Pod和容器上的配額不會超標(biāo)。準(zhǔn)入控制器LimitRanger和資源對象LimitRange一起實現(xiàn)資源限制管理什么是AdmissionControl11控制的類型NamespaceLifecycle當(dāng)一個請求是在一個不存在的namespace下創(chuàng)建資源對象時，該請求會被拒絕。當(dāng)刪除一個namespace時，將會刪除該namespace下的所有資源對象使用admissioncontroller12對于Kubernetes>=1.9.0，推薦配置以下插件--admission-control=NamespaceLifecycle,LimitRanger,ServiceAccount,PersistentVolumeLabel,DefaultStorageClass,DefaultTolerationSeconds,MutatingAdmissionWebhook,ValidatingAdmissionWebhook,ResourceQuota使用admissioncontroller13對于Kubernetes>=1.6.0，推薦kube-apiserver開啟以下插件--admission-control=NamespaceLifecycle,LimitRanger,ServiceAc