1. 비밀을 얻고 이를 해독하여 파일에 저장합니다.
k 비밀을 얻으세요 adam -n safe -o yaml
2. --from-literal을 사용하여 새로운 비밀을 만듭니다.
[desk@cli] $k 비밀 일반 뉴스크릿 생성 -n safe --from-literal=사용자 이름=dbadmin --from-literal=비밀번호=moresecurepass
3. mysecret-pod의 db-container의 볼륨으로 마운트합니다.
설명


[desk@cli] $k 비밀 일반 newsecret 생성 -n safe --from-literal=사용자 이름=dbadmin --from-literal=암호=moresecurepass 비밀/newsecret 생성됨
[desk@cli] $vim /home/certs_masters/secret-pod.yaml
api버전: v1
종류: 포드
메타데이터:
이름: mysecret-pod
네임스페이스: 안전함
라벨:
실행: mysecret-pod
투기:
컨테이너:
- 이름: db-container
이미지: redis
볼륨마운트:
- 이름: secret-vol
mountPath: /etc/mysecret
읽기 전용: 참
볼륨:
- 이름: secret-vol
비밀:
secretName: newsecret
[desk@cli] $ k 적용 -f /home/certs_masters/secret-pod.yaml
pod/mysecret-pod 생성됨
[desk@cli] $ k exec -it mysecret-pod -n safe - cat /etc/mysecret/username dbadmin

[desk@cli] $ k exec -it mysecret-pod -n safe - cat /etc/mysecret/password moresecurepas

힌트: docker run -i kubesec/kubesec:512c5e0 scan /dev/stdin < kubesec-test.yaml

api 버전: policy/v1beta1
종류: SubSecurityPolicy
메타데이터:
이름: 제한됨
주석:
seccomp.security.alpha.kubernetes.io/allowedProfileNames: 'docker/default,runtime/default' apparmor.security.beta.kubernetes.io/allowedProfileNames: 'runtime/default' seccomp.security.alpha.kubernetes.io/defaultProfileName: 'runtime/default' apparmor.security.beta.kubernetes.io/defaultProfileName: 'runtime/default' 사양:
특권: 거짓
# 루트로의 에스컬레이션을 방지하는 데 필요합니다.
allowPrivilegeEscalation: 거짓
# 이것은 루트가 아닌 + 권한 상승을 허용하지 않는 것과 중복됩니다.
# 하지만 우리는 심층 방어를 위해 이를 제공할 수 있습니다.
필수DropCapabilities:
- 모두
# 코어 볼륨 유형을 허용합니다.
볼륨:
- 'configMap'
- '빈 디렉토리'
- '예상'
- '비밀'
- 'downwardAPI'
# 클러스터 관리자가 설정한 persistentVolumes는 사용하기 안전하다고 가정합니다.
- '영구 볼륨 클레임'
호스트 네트워크: false
호스트IPC: 거짓
호스트PID: 거짓
사용자로 실행:
# 컨테이너가 루트 권한 없이 실행되도록 요구합니다.
규칙: 'MustRunAsNonRoot'
se리눅스:
# 이 정책은 노드가 SELinux가 아닌 AppArmor를 사용한다고 가정합니다.
규칙: 'RunAsAny'
보충 그룹:
규칙: 'MustRunAs'
범위:
# 루트 그룹 추가를 금지합니다.
- 최소: 1
최대 : 65535
fs그룹:
규칙: 'MustRunAs'
범위:
# 루트 그룹 추가를 금지합니다.
- 최소: 1
최대 : 65535
readOnlyRootFilesystem: 거짓

1. Dockerfile의 경우: Dockerfile에서 이미지 버전 및 사용자 이름 수정
2. mydeployment.yaml의 경우: 보안 컨텍스트 수정
설명
[desk@cli] $ vim /home/cert_masters/Dockerfile
ubuntu:latest에서 # 이것을 제거하세요
ubuntu:18.04에서 # 이것을 추가하세요
USER root # 이것을 제거하세요
USER nobody # 이것을 추가하세요
apt get install -y lsof=4.72 wget=1.17.1 nginx=4.2를 실행하세요.
ENV 환경=테스트
USER root # 이것을 제거하세요
USER nobody # 이것을 추가하세요
CMD ["nginx -d"]

[desk@cli] $ vim /home/cert_masters/mydeployment.yaml
api버전: apps/v1
종류: 배치
메타데이터:
creationTimestamp: null
라벨:
앱: 카프카
이름: 카프카
투기:
복제품: 1
선택자:
매치라벨:
앱: 카프카
전략: {}
주형:
메타데이터:
creationTimestamp: null
라벨:
앱: 카프카
투기:
컨테이너:
- 이미지: bitnami/kafka
이름: 카프카
볼륨마운트:
- 이름: 카프카-vol
마운트 경로: /var/lib/kafka
보안 컨텍스트:
{"capabilities":{"add":["NET_ADMIN"],"drop":["all"]},"privileged": True,"readOnlyRootFilesystem": False, "runAsUser": 65535} # 이것을 삭제합니다.
{"capabilities":{"add":["NET_ADMIN"],"drop":["all"]},"privileged": False,"readOnlyRootFilesystem": True, "runAsUser": 65535} # 이 리소스를 추가합니다: {} 볼륨:
- 이름: 카프카-vol
emptyDir: {}
상태: {}
그림으로 보기:
[desk@cli] $ vim /home/cert_masters/mydeployment.yaml

이에 대한 귀하의 의견을 보내주시기 바랍니다.