1. RequestResponse에서 Cronjob이 변경됩니다.
2. kube-system 네임스페이스에서 배포 변경 사항의 요청 본문을 기록합니다.
3. 요청 수준에서 코어 및 확장의 다른 모든 리소스를 기록합니다.
4. 엔드포인트에서 "system:kube-proxy"에 의한 감시 요청을 기록하지 마십시오.

debian:latest에서
메인테이너 [email protected]
# 1 - 달리기
RUN apt-get update && DEBIAN_FRONTEND=noninteractive apt-get install -yq apt-utils RUN DEBIAN_FRONTEND=noninteractive apt-get install -yq htop RUN apt-get clean
# 2 - 커맨드
#CMD ["htop"]
#CMD ["ls", "-l"]
# 3 - WORKDIR 및 ENV
작업 디렉토리 /루트
ENV DZ 버전1
$ docker image build -t bogodevops/demo .
Docker 데몬에 빌드 컨텍스트 전송 3.072kB
1/7단계: debian:latest에서
---> be2868베바바
2/7단계: MAINTAINER [email protected]
---> 캐시 사용
---> e2eef476b3fd
3/7단계: apt-get update && DEBIAN_FRONTEND=noninteractive apt-get install -yq apt-utils를 실행합니다.
---> 캐시 사용
---> 32fd044c1356
4/7단계: DEBIAN_FRONTEND=noninteractive apt-get install -yq htop을 실행합니다.
---> 캐시 사용
---> 0a5b514a209e
5/7단계: apt-get clean 실행
---> 캐시 사용
---> 5d1578a47c17
6/7단계: WORKDIR /root
---> 캐시 사용
---> 6b1c70e87675
7/7단계: ENV DZ 버전 1
---> 캐시 사용
---> cd195168c5c7
cd195168c5c7을 성공적으로 빌드했습니다.
bogodevops/demo:latest 태그가 성공적으로 지정되었습니다.

[desk@cli] $ k create sa backend-qa -n qa sa/backend-qa created [desk@cli] $ k get role,rolebinding -n qa qa 네임스페이스에서 리소스를 찾을 수 없습니다. [desk@cli] $ k create role backend -n qa --resource pods,namespaces,configmaps --verb list # 비밀에 대한 액세스 권한이 없습니다. [desk@cli] $ k create rolebinding backend -n qa --role backend --serviceaccount qa:backend-qa [desk@cli] $ vim /home/cert_masters/frontend-pod.yaml apiVersion: v1 kind: Pod metadata:
이름: 프런트엔드
투기:
serviceAccountName: backend-qa # 이것을 추가하세요
이미지: nginx
이름: 프런트엔드
[desk@cli] $ k apply -f /home/cert_masters/frontend-pod.yaml 포드 생성됨
[desk@cli] $ k create sa backend-qa -n qa serviceaccount/backend-qa created [desk@cli] $ k get role,rolebinding -n qa qa 네임스페이스에서 리소스를 찾을 수 없습니다. [desk@cli] $ k create role backend -n qa --resource pods,namespaces,configmaps --verb list role.rbac.authorization.k8s.io/backend created [desk@cli] $ k create rolebinding backend -n qa --role backend --serviceaccount qa:backend-qa rolebinding.rbac.authorization.k8s.io/backend created [desk@cli] $ vim /home/cert_masters/frontend-pod.yaml apiVersion: v1 kind: Pod metadata:
이름: 프런트엔드
투기:
serviceAccountName: backend-qa # 이것을 추가하세요
이미지: nginx
이름: 프런트엔드
[desk@cli] $ k apply -f /home/cert_masters/frontend-pod.yaml pod/frontend가 생성되었습니다. https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/

해결책(단계별) :
1. 레이블 기반 액세스 정의: 네임스페이스 내 포드의 특정 레이블을 식별하여 통신을 허용해야 합니다. 예를 들어, 'Sapp: serviceAS' 및 'Sapp: serviceB' 레이블을 가진 포드는 통신이 허용되어야 하지만, 다른 포드는 격리되어야 한다고 가정해 보겠습니다.
2. NetworkPolicy 만들기: 'strict-communication.yaml'이라는 NetworkPolicy YAML 파일을 만들어 통신 정책을 정의합니다.

- 이 정책은 'app: serviceA' 또는 'Sapp: serviced' 레이블이 있는 포드가 서로 통신할 수 있도록 허용합니다. 같은 네임스페이스 내의 다른 포드는 통신할 수 없습니다. 3. 네트워크 정책 적용: 'kubectr: bash kubectl apply -f strict-communication.yaml'을 사용하여 네트워크 정책을 적용합니다. 4. 네트워크 정책 확인: 네트워크 정책이 적용되었는지 확인합니다. bash kubectl get networkpolicies -n 5. 액세스 테스트: 네임스페이스 내의 포드 간 통신을 테스트합니다. 지정된 레이블('Capp: serviceAS' 및 'Sapp: serviceB')이 있는 포드는 통신할 수 있어야 합니다. 다른 포드는 서로 또는 레이블이 지정된 포드와 통신할 수 없어야 합니다. 이 네트워크 정책은 네임스페이스 내에서 엄격한 통신 정책을 시행합니다. 특정 레이블이 있는 포드로 통신을 제한하여 같은 네임스페이스 내의 다른 포드를 효과적으로 격리합니다. 이 정책은 레이블 및 기타 포드 속성을 기반으로 더 세부적인 통신 규칙을 정의하도록 튜너를 사용자 지정할 수 있습니다.

솔루션(단계별):
1. 역할 만들기: 중요한 네임스페이스에 액세스하는 데 필요한 권한만 부여하는 역할을 정의합니다.
- 이름: 'namespace-access-role' (원하는 이름을 선택할 수 있습니다)
- 네임스페이스: 액세스를 제한하려는 네임스페이스입니다.
- 규칙:
- 리소스: 역할이 액세스할 수 있는 리소스를 지정합니다. 예: 'pods', 'deployments', 'services' 등
- 동사: 리소스에 허용되는 작업을 정의합니다. 예: 'get', 'list', 'watch', 'create', 'update', 'delete' 등.
- ApiGroups: 리소스가 속한 API 그룹을 지정합니다. 예: '앱', '확장 프로그램' 등
- 와일드카드를 사용하면 모든 리소스나 모든 동사에 대한 액세스 권한을 부여할 수 있습니다.
2. ROIeBinding을 만듭니다. 역할을 특정 사용자나 그룹과 연결합니다.
- 이름: 'namespace-access-binding' (원하는 이름을 선택할 수 있습니다)
- 네임스페이스: 액세스를 제한하려는 네임스페이스입니다.
_ 역할참조-.
- 종류: '역할'(역할을 사용하고 있으므로)
- 이름: 생성한 역할의 이름입니다.
- ApiGroup: 'rbac.authorization.k8s.i0'
- 주체: 이 역할에 액세스할 수 있는 사용자 또는 그룹을 정의합니다.
- 종류: 사용자인지 그룹인지 지정합니다.
- 이름: 사용자 이름 또는 그룹 이름입니다.
- API그룹: 'rbac.authorization.k8s.io'
3. 역할과 역할 인식을 적용하세요.
- 'kubectl apply -f role.yaml' 및 'kubectl apply -f rolebinding.yamr'을 사용하여 각각 Role 및 RoleBinding을 생성합니다.
Role 및 Role8inding에 대한 YAML 예:
역할(role-yaml)

Role8inding(rolebinding.yaml)

- 역할 'namespace-access-role'은 'deployments', 'pods', 'services' 및 'secrets'에 대한 액세스 권한을 부여합니다. - 역할 바인딩 'namespace-access-binding'은 이 역할을 사용자와 연결합니다. - 이 설정은 네임스페이스에 대한 액세스를 해당 사용자에게만 제한합니다. 중요 참고 사항: - R8AC는 Kubernetes에서 리소스에 대한 액세스를 제어하는 ​​강력한 메커니즘입니다. - 다양한 RBAC 구성 요소(Role, RoleBinding, ClusterRole, ClusterRoleBinding)와 그 사용법을 이해하는 것이 중요합니다. - 세분화된 권한을 정의하여 최소 권한 액세스를 보장하고 보안을 강화합니다.