[CKS] K8S Admission Set Up

最近准备花一周的时间准备CKS考试,在准备考试中发现有一个题目关于Admission。

What's Admission

Kubernetes Admission是Kubernetes集群中一种机制,用于控制和修改集群中的资源对象。它允许您在Kubernetes资源被创建、更新或删除之前,对资源做出预处理或修改。

Admission控制器运行在Kubernetes API服务器上,拦截所有传入的请求,并根据定义的策略对资源进行审查和修改。它可以用来实现各种强制策略,例如强制应用标准命名约定、强制资源配额或限制、自动注入辅助容器等。

Admission控制器可以使用多种方式实现,包括ValidatingAdmissionWebhook和MutatingAdmissionWebhook。ValidatingAdmissionWebhook用于对资源做出审查,例如校验资源的名称和标签是否符合规范。MutatingAdmissionWebhook则可以对资源进行修改,例如自动注入辅助容器。

通过使用Admission控制器,您可以增强Kubernetes的安全性、可靠性和一致性,并根据自己的需求对资源对象进行自定义处理。

Question 1

  1. The cluster needs to be configured to scan incoming container images before running workloads. An image scanning service is already set up.

Modify the admission control configuration so that it will implicitly deny images, even if the image scanning service is unreachable. The global admission control configuration is at /etc/kubernetes/admission-control/admission-control.conf, and the specific configuration for the admission controller is at /etc/kubernetes/admission-control/imagepolicy.conf.

这段话的意思是需要对集群进行配置,以便在运行工作负载之前扫描传入的容器镜像。已经设置好了一个镜像扫描服务。要修改准入控制配置,使其在无法访问镜像扫描服务的情况下隐式拒绝镜像。全局准入控制配置位于/etc/kubernetes/admission-control/admission-control.conf,而准入控制器的具体配置位于/etc/kubernetes/admission-control/imagepolicy.conf。

Practice

  1. 首先利用ssh切换到你的master节点上去
bash 复制代码
ssh k8s-control
  1. 在k8s-control中根据提供的imagepolicy.conf所在位置进行编辑设置以下内容:
bash 复制代码
"defaultAllow": false

Question 2

Add the URL of the image scanning service to the kubeconfig used by the admission controller.

The service can be reached at https://acg.trivy.k8s.webhook:8090/scan

这句话的意思是将image扫描服务的URL添加到由准入控制器使用的kubeconfig中。该服务可以通过https://acg.trivy.k8s.webhook:8090/scan访问。

Practice

在提供的imagepolicy.conf文件你会发现有以下的一段:

bash 复制代码
      "kubeConfigFile": "/etc/kubernetes/admission-control/imagepolicy_backend.kubeconfig",

/etc/kubernetes/admission-control/imagepolicy_backend.kubeconfig这就是你的kubeconfig文件

你需要咋里面修改以下内容

bash 复制代码
server: https://acg.trivy.k8s.webhook:8090/scan

Question 3

In the kube-apiserver manifest, enable any admission control plugin(s) necessary to scan images.

There are two Pod manifests in /home/cloud_user on the CLI server. If your setup is working, no-vulns-pod.yml should pass image validation, while vulns-pod.yml should fail due to vulnerabilities.

这段话的意思是,在kube-apiserver的配置文件中启用任何必要的准入控制插件来扫描镜像。

在CLI服务器的/home/cloud_user目录中有两个Pod 文件。如果您的设置正常工作,no-vulns-pod.yml应该通过镜像验证,而vulns-pod.yml应该由于存在漏洞而失败。

Practice

在这里就是需要将ImagePolicyWebhook给应用到kube-apiserver中

我们需要在/etc/kubernetes/manifests/kube-apiserver.yaml文件中修改如下内容:

--enable-admissions-plugins=NodeRestriction,ImagePolicyWebhook

验证

这里给我们在worker节点中提供了两个pod yml文件进行验证,我们可以利用kubectl create -f 来验证这两个pod,vulns-pod.yml将不会创建成功,no-vulns-pod.yml会创建成功

相关推荐
颜淡慕潇12 分钟前
【K8S系列】kubectl describe pod显示ImagePullBackOff,如何进一步排查?
后端·云原生·容器·kubernetes
Linux运维日记33 分钟前
k8s1.31版本最新版本集群使用容器镜像仓库Harbor
linux·docker·云原生·容器·kubernetes
一名路过的小码农2 小时前
ceph 18.2.4二次开发,docker镜像制作
ceph·docker·容器
AI_小站2 小时前
RAG 示例:使用 langchain、Redis、llama.cpp 构建一个 kubernetes 知识库问答
人工智能·程序人生·langchain·kubernetes·llama·知识库·rag
xiangshangdemayi5 小时前
Windows环境GeoServer打包Docker极速入门
windows·docker·容器·geoserver·打包·数据挂载
程序员JerrySUN5 小时前
熟悉的 Docker,陌生的 Podman
linux·docker·容器·系统架构·podman
长囧鹿6 小时前
云原生之k8s服务管理
云原生·容器·kubernetes
gobeyye6 小时前
Docker 用法详解
运维·docker·容器
怡雪~7 小时前
centos7.9搭建k8s集群
云原生·容器·kubernetes
雪碧聊技术8 小时前
Docker3:docker基础1
运维·docker·容器·docker常见命令