在Kubernetes中通过 pod 打开 pod所在宿主机上的shell

昨日一伙计突然问我 在么把自己打好的 docker镜像 上传到 kubernetes 的 节点的 local 镜像池。

现状大约如下:

1)只有master节点的登录权限;

2)不知道存在哪些worker节点也无法通过 master 借助SSH 登录到 worker节点 (这点我很困惑,难道部署 Kubernetes 集群时不应该打通 部署节点【默认为master1】到其他节点的SSH免密登录吗?还是着就是一个ALL-IN-ONE的单节点集群?)

3)docker client 版本是 24.0.6 ,通过 registory 搭建私有docker镜像仓库 无法解决https协议问题。因为 docker client 没有配置使用 不安全的docker仓库;

4)客户那儿不可能给这个 Kubernetes 集群申请 公网IP或者二级域名,使用反向代理或者自谦证书后 会出现 X509 证书不受信问题。

这个问题的解决就两种途径:

要么把各节点上的 docker client 配置为使用 不安全的docker镜像仓库;

要么找一个具有公网IP或者域名的内网主机申请公共可信证书或者把自签证书配置到各节点上。

但经过试验,可以 通过 pod的 namespace 打开一个 PID 为 1 的shell,这个shell其实就是pod所在宿主机的root用户在其 namespace 中开启的一个 TTY 。这其实是 Kubernetes 中的一个提权漏洞,不知道在未来会不会进行修复。

nsenter 是一个 进入 namespace 的 工具,通用的 Linux OS 中都会含有这个工具。

相关推荐
Johny_Zhao1 小时前
Docker + CentOS 部署 Zookeeper 集群 + Kubernetes Operator 自动化运维方案
linux·网络安全·docker·信息安全·zookeeper·kubernetes·云计算·系统运维
代码老y4 小时前
Docker:容器化技术的基石与实践指南
运维·docker·容器
掘金-我是哪吒8 小时前
分布式微服务系统架构第156集:JavaPlus技术文档平台日更-Java线程池使用指南
java·分布式·微服务·云原生·架构
阿里云云原生10 小时前
Serverless JManus: 企业生产级通用智能体运行时
云原生
Kookoos14 小时前
ABP VNext + Tye:本地微服务编排与调试
微服务·云原生·架构·tye
掘金-我是哪吒19 小时前
分布式微服务系统架构第157集:JavaPlus技术文档平台日更-Java多线程编程技巧
java·分布式·微服务·云原生·架构
掘金-我是哪吒19 小时前
分布式微服务系统架构第155集:JavaPlus技术文档平台日更-Java线程池实现原理
java·分布式·微服务·云原生·架构
朱杰jjj20 小时前
Docker容器中无法使用vim、vi命令处理
docker·容器·vim
东林牧之20 小时前
CICD[软件安装]:docker安装gitlab
docker·容器·gitlab
cui_hao_nan1 天前
Docker后端部署
运维·docker·容器