1. 端口问题

1
2
3
4
5
6
7
8
pod:
 - containerPort: 容器端口
   hostPort: 主机端口

service:
 - port: 监听端口
   targetPort: 转发到pod的端口
   nodePort:>30001 外部访问的端口

2. 容器健康检查探针

1
2
3
4
5
6
livenessProbe:
    httpGet:
        path: /
        port: 9090
    initialDelaySeconds: 30
    timeoutSeconds: 30

3. 安全控制

Authentication认证

  • CA
  • token
  • http base64

Authorization授权

通过指定--authorization_policay_file=SOME_FILENAME来确定

Admission Control准入控制

调用这些插件拦截通过上面认证和授权的请求。

1
KUBE_ADMISSION_CONTROL="--admission-control=NamespaceLifecycle,NamespaceExists,LimitRanger,SecurityContextDeny,ResourceQuota"

Secret

私密信息保存到secret中，可以挂载到pod中。

1
2
3
4
5
6
7
8
9
apiVersion: v1
kind: Secret
metadata: 
    name: mysecret
type:
    Opaque
data:
    password: ODgyMAo=
    username: Y2hhY2UK

包含三种类型：

  • Opaque
  • kubernetes.io/dockercfg
  • kubernetes.io/service-account-token

Secret有三种使用方式：

  • 创建pod时，指定Service Account自动使用该secret
  • 挂载secret到pod使用
  • 创建pod时，指定pod的spc.ImagePullSecrets来引用它

Service Account

Service Account是多个secret的集合。

  • 普通secret，用于访问API Secret
  • imagePullSecret，用于下载镜像

在--admission-control=ServiceAccount启用。

除了namespace，也可以通过切换上下文的方式来隔离pod。