思维导图备注

Kubernetes v1.25 中文文档
首页 白天 夜间 BookChat 小程序 小程序 阅读
  • 书签 我的书签
  • 添加书签 添加书签 移除书签 移除书签

安全

 Github  来源:Kubernetes 浏览 247 扫码 分享 2022-09-30 23:34:04
  • 安全
    • 使用 AppArmor 限制容器对资源的访问
    • 在集群级别应用 Pod 安全标准
    • 在名字空间级别应用 Pod 安全标准
    • 使用 seccomp 限制容器的系统调用

    安全

    使用 AppArmor 限制容器对资源的访问
    在集群级别应用 Pod 安全标准
    在名字空间级别应用 Pod 安全标准
    使用 seccomp 限制容器的系统调用
    当前内容版权归 Kubernetes 或其关联方所有，如需对内容或内容相关联开源项目进行关注与资助，请访问 Kubernetes .
    上一篇:
    下一篇:
    • 书签
    • 添加书签 移除书签
    • Kubernetes v1.31 Documentation
    • Kubernetes v1.31 中文文档
    • Kubernetes v1.30 Documentation
    • Kubernetes v1.30 中文文档
    • Kubernetes v1.29 中文文档
    • Kubernetes v1.29 Documentation
    • Kubernetes v1.28 中文文档
    • Kubernetes v1.28 Documentation
    • Kubernetes v1.27 Documentation
    • Kubernetes v1.27 中文文档
    • Kubernetes v1.26 Documentation
    • Kubernetes v1.26 中文文档
    • Kubernetes v1.25 中文文档
    • Kubernetes v1.25 Documentation
    • Kubernetes v1.24 Documentation
    • Kubernetes v1.24 中文文档
    • Kubernetes v1.23 Documentation
    • Kubernetes v1.23 中文文档
    • Kubernetes v1.22 官方文档
    • Kubernetes v1.22 Documentation
    • Kubernetes v1.21 Documentation
    • Kubernetes v1.21 官方文档(全)
    • Kubernetes v1.20 Documentation
    • Kubernetes v1.20 官方文档(全)
    • Kubernetes v1.19 概念手册
    • Kubernetes v1.19 参考指南
    • Kubernetes v1.19 任务手册
    • Kubernetes v1.19 使用教程
    • Kubernetes v1.19 入门教程
    • Kubernetes v1.18 参考指南
    • Kubernetes v1.18 概念手册
    • Kubernetes v1.18 使用教程
    • Kubernetes v1.18 入门教程
    • Kubernetes v1.17 教程
    • Kubernetes v1.17 概念手册
    • Kubernetes v1.17 参考指南
    • Kubernetes v1.17 任务手册
    • Kubernetes v1.17 入门手册
    • Kubernetes v1.16 官方参考指南
    • Kubernetes v1.16 官方中文文档
    • 入门
      • 学习环境
      • 生产环境
        • 容器运行时
        • Turnkey 云解决方案
        • 使用部署工具安装 Kubernetes
          • 使用 kubeadm 引导集群
            • 安装 kubeadm
            • 对 kubeadm 进行故障排查
            • 使用 kubeadm 创建集群
            • 使用 kubeadm API 定制组件
            • 高可用拓扑选项
            • 利用 kubeadm 创建高可用集群
            • 使用 kubeadm 创建一个高可用 etcd 集群
            • 使用 kubeadm 配置集群中的每个 kubelet
            • 使用 kubeadm 支持双协议栈
          • 使用 kOps 安装 Kubernetes
          • 使用 Kubespray 安装 Kubernetes
      • 最佳实践
        • 运行于多可用区环境
        • 大规模集群的注意事项
        • 校验节点设置
        • PKI 证书和要求
        • 强制实施 Pod 安全性标准
    • 概念
      • 概述
        • Kubernetes 组件
        • Kubernetes API
        • 使用 Kubernetes 对象
          • 理解 Kubernetes 对象
          • Kubernetes 对象管理
          • 对象名称和 IDs
          • 名字空间
          • 标签和选择算符
          • 注解
          • Finalizers
          • 属主与附属
          • 字段选择器
          • 推荐使用的标签
      • Kubernetes 架构
        • 节点
        • 节点与控制面之间的通信
        • 控制器
        • 云控制器管理器
        • 关于 cgroup v2
        • 垃圾收集
        • 容器运行时接口（CRI）
      • 容器
        • 镜像
        • 容器环境
        • 容器运行时类（Runtime Class）
        • 容器生命周期回调
      • Kubernetes 中的 Windows
        • Kubernetes 中的 Windows 容器
        • Kubernetes 中的 Windows 容器调度指南
      • 工作负载
        • Pod
          • Pod 的生命周期
          • Init 容器
          • 干扰（Disruptions）
          • 临时容器
        • User Namespaces
          • Downward API
        • 工作负载资源
          • Deployments
          • ReplicaSet
          • StatefulSet
          • DaemonSet
          • Job
          • 已完成 Job 的自动清理
          • CronJob
          • ReplicationController
      • 服务、负载均衡和联网
        • 服务（Service）
        • 使用拓扑键实现拓扑感知的流量路由
        • Ingress
        • Ingress 控制器
        • 使用 Service 连接到应用
        • EndpointSlice
        • 服务内部流量策略
        • 网络策略
        • Service 与 Pod 的 DNS
        • IPv4/IPv6 双协议栈
        • 拓扑感知提示
        • Windows 网络
      • 存储
        • 卷
        • 持久卷
        • 投射卷
        • 存储类
        • 临时卷
        • 动态卷制备
        • 卷快照
        • 卷快照类
        • CSI 卷克隆
        • 存储容量
        • Windows 存储
        • 卷健康监测
        • 特定于节点的卷数限制
      • 配置
        • 配置最佳实践
        • ConfigMap
        • Secret
        • 为 Pod 和容器管理资源
        • 使用 kubeconfig 文件组织集群访问
        • Windows 节点的资源管理
      • 安全
        • 云原生安全概述
        • Pod 安全性标准
        • Pod 安全性准入
        • Pod 安全策略
        • Windows 节点的安全性
        • Kubernetes API 访问控制
        • 基于角色的访问控制良好实践
      • Good practices for Kubernetes Secrets
        • 多租户
      • Kubernetes API Server Bypass Risks
      • Security Checklist
      • 策略
        • 限制范围
        • 资源配额
        • 进程 ID 约束与预留
        • 节点资源管理器
      • 调度、抢占和驱逐
        • Kubernetes 调度器
        • 将 Pod 指派给节点
        • Pod 开销
        • Pod 拓扑分布约束
        • 污点和容忍度
        • Pod 优先级和抢占
        • 节点压力驱逐
        • API 发起的驱逐
        • 扩展资源的资源装箱
        • 调度框架
        • 调度器性能调优
      • 集群管理
        • 证书
        • 管理资源
        • 集群网络系统
        • Kubernetes 系统组件指标
        • 日志架构
        • 系统日志
        • 追踪 Kubernetes 系统组件
        • Kubernetes 中的代理
        • API 优先级和公平性
        • 安装扩展（Addons）
      • 扩展 Kubernetes
        • 扩展 Kubernetes API
          • 定制资源
          • Kubernetes API 聚合层
        • Operator 模式
        • 计算、存储和网络扩展
          • 网络插件
          • 设备插件
    • 任务
      • 安装工具
        • 在 Linux 系统中安装并设置 kubectl
        • 在 macOS 系统上安装和设置 kubectl
        • 在 Windows 上安装 kubectl
      • 管理集群
        • 从 dockershim 迁移
          • 将节点上的容器运行时从 Docker Engine 改为 containerd
          • 将 Docker Engine 节点从 dockershim 迁移到 cri-dockerd
          • 查明节点上所使用的容器运行时
          • 排查 CNI 插件相关的错误
          • 检查移除 Dockershim 是否对你有影响
          • 从 dockershim 迁移遥测和安全代理
        • 用 kubeadm 进行管理
          • 配置 cgroup 驱动
          • 使用 kubeadm 进行证书管理
          • 重新配置 kubeadm 集群
          • 升级 kubeadm 集群
          • 升级 Windows 节点
        • 管理内存、CPU 和 API 资源
          • 为命名空间配置默认的内存请求和限制
          • 为命名空间配置默认的 CPU 请求和限制
          • 配置命名空间的最小和最大内存约束
          • 为命名空间配置 CPU 最小和最大约束
          • 为命名空间配置内存和 CPU 配额
          • 配置命名空间下 Pod 配额
        • 手动生成证书
        • 安装网络策略驱动
          • 使用 Antrea 提供 NetworkPolicy
          • 使用 Calico 提供 NetworkPolicy
          • 使用 Cilium 提供 NetworkPolicy
          • 使用 kube-router 提供 NetworkPolicy
          • 使用 Romana 提供 NetworkPolicy
          • 使用 Weave Net 提供 NetworkPolicy
        • IP Masquerade Agent 用户指南
        • Kubernetes 云管理控制器
        • 安全地清空一个节点
        • 保护集群
        • 调试 DNS 问题
        • 改变默认 StorageClass
        • 更改 PersistentVolume 的回收策略
        • 关键插件 Pod 的调度保证
        • 静态加密 Secret 数据
        • 开发云控制器管理器
        • 开启服务拓扑
        • 控制节点上的 CPU 管理策略
        • 控制节点上的拓扑管理策略
        • 名字空间演练
        • 配置 API 对象配额
        • 启用/禁用 Kubernetes API
        • 迁移多副本的控制面以使用云控制器管理器
        • 升级集群
        • 声明网络策略
        • 使用 CoreDNS 进行服务发现
        • 使用 KMS 驱动进行数据加密
        • 使用 Kubernetes API 访问集群
        • 使用 NUMA 感知的内存管理器
        • 通过名字空间共享集群
        • 通过配置文件设置 Kubelet 参数
        • 为 Kubernetes 运行 etcd 集群
        • 为节点发布扩展资源
        • 为系统守护进程预留计算资源
        • 限制存储使用量
        • 验证已签名容器镜像
        • 以非 root 用户身份运行 Kubernetes 节点组件
        • 在 Kubernetes 集群中使用 NodeLocal DNSCache
        • 在 Kubernetes 集群中使用 sysctl
        • 在集群中使用级联删除
        • 在运行中的集群上重新配置节点的 kubelet
        • 自定义 DNS 服务
        • 自动扩缩集群 DNS 服务
      • 监控、日志和调试
        • 集群故障排查
          • 资源指标管道
          • 节点健康监测
          • 使用 crictl 对 Kubernetes 节点进行调试
          • Windows 调试技巧
          • 审计
          • 使用 telepresence 在本地开发和调试服务
          • 资源监控工具
        • 应用故障排除
          • 调试 Pod
          • 调试 Service
          • 调试 StatefulSet
          • 调试 Init 容器
          • 调试运行中的 Pod
          • 获取正在运行容器的 Shell
          • 确定 Pod 失败的原因
      • 配置 Pods 和容器
        • 为容器和 Pod 分配内存资源
        • 创建 Windows HostProcess Pod
        • 为 Windows Pod 和容器配置 GMSA
        • 为 Windows 的 Pod 和容器配置 RunAsUserName
        • 为容器和 Pods 分配 CPU 资源
        • 配置 Pod 的服务质量
        • 为容器分派扩展资源
        • 配置 Pod 以使用卷进行存储
        • 配置 Pod 以使用 PersistentVolume 作为存储
        • 配置 Pod 使用投射卷作存储
        • 为 Pod 或容器配置安全上下文
        • 为 Pod 配置服务账号
        • 从私有仓库拉取镜像
        • 配置存活、就绪和启动探针
        • 将 Pod 分配给节点
        • 用节点亲和性把 Pods 分配到节点
        • 配置 Pod 初始化
        • 为容器的生命周期事件设置处理函数
        • 配置 Pod 使用 ConfigMap
        • 为 Pod 配置用户名字空间
        • 在 Pod 中的容器之间共享进程命名空间
        • 创建静态 Pod
        • 将 Docker Compose 文件转换为 Kubernetes 资源
        • 从 PodSecurityPolicy 迁移到内置的 PodSecurity 准入控制器
        • 使用名字空间标签来实施 Pod 安全性标准
        • 通过配置内置准入控制器实施 Pod 安全标准
      • 管理 Kubernetes 对象
        • 使用配置文件对 Kubernetes 对象进行声明式管理
        • 使用 Kustomize 对 Kubernetes 对象进行声明式管理
        • 使用指令式命令管理 Kubernetes 对象
        • 使用配置文件对 Kubernetes 对象进行命令式管理
        • 使用 kubectl patch 更新 API 对象
      • 管理 Secrets
        • 使用 kubectl 管理 Secret
        • 使用配置文件管理 Secret
        • 使用 Kustomize 管理 Secret
      • 给应用注入数据
        • 为容器设置启动时要执行的命令和参数
        • 定义相互依赖的环境变量
        • 为容器设置环境变量
        • 通过环境变量将 Pod 信息呈现给容器
        • 通过文件将 Pod 信息呈现给容器
        • 使用 Secret 安全地分发凭证
      • 运行应用
        • 使用 Deployment 运行一个无状态应用
        • 运行一个单实例有状态应用
        • 运行一个有状态的应用程序
        • 删除 StatefulSet
        • 强制删除 StatefulSet 中的 Pods
        • Pod 水平自动扩缩
        • HorizontalPodAutoscaler 演练
        • 为应用程序设置干扰预算（Disruption Budget）
        • 从 Pod 中访问 Kubernetes API
        • 扩缩 StatefulSet
      • 运行 Jobs
        • 使用 CronJob 运行自动化任务
        • 使用工作队列进行粗粒度并行处理
        • 使用工作队列进行精细的并行处理
        • 使用索引作业完成静态工作分配下的并行处理
        • 使用展开的方式进行并行处理
        • 使用 Pod 失效策略处理可重试和不可重试的 Pod 失效
      • 访问集群中的应用程序
        • 部署和访问 Kubernetes 仪表板（Dashboard）
        • 访问集群
        • 使用端口转发来访问集群中的应用
        • 使用服务来访问集群中的应用
        • 使用 Service 把前端连接到后端
        • 创建外部负载均衡器
        • 列出集群中所有运行容器的镜像
        • 在 Minikube 环境中使用 NGINX Ingress 控制器配置 Ingress
        • 为集群配置 DNS
        • 访问集群上运行的服务
        • 配置对多集群的访问
        • 同 Pod 内的容器使用共享卷通信
      • 扩展 Kubernetes
        • 配置聚合层
        • 使用自定义资源
          • 使用 CustomResourceDefinition 扩展 Kubernetes API
          • CustomResourceDefinition 的版本
        • 安装一个扩展的 API server
        • 配置多个调度器
        • 使用 HTTP 代理访问 Kubernetes API
        • 使用 SOCKS5 代理访问 Kubernetes API
        • 设置 Konnectivity 服务
      • TLS
        • 管理集群中的 TLS 认证
        • 手动轮换 CA 证书
        • 为 kubelet 配置证书轮换
      • 管理集群守护进程
        • 对 DaemonSet 执行滚动更新
        • 对 DaemonSet 执行回滚
      • 网络
        • 使用 HostAliases 向 Pod /etc/hosts 文件添加条目
        • 验证 IPv4/IPv6 双协议栈
        • 调度 GPU
        • 管理巨页（HugePages）
        • 配置 kubelet 镜像凭据提供程序
        • 用插件扩展 kubectl
    • 教程
      • 你好，Minikube
      • 学习 Kubernetes 基础知识
        • 创建集群
          • 使用 Minikube 创建集群
          • 交互式教程 - 创建集群
        • 部署应用
          • 使用 kubectl 创建 Deployment
          • 交互式教程 - 部署应用
        • 了解你的应用
          • 查看 pod 和工作节点
          • 交互式教程-了解你的应用
        • 公开地暴露你的应用
          • 使用 Service 暴露你的应用
          • 交互式教程 - 暴露你的应用
        • 缩放你的应用
          • 运行应用程序的多个实例
          • 交互教程 - 缩放你的应用
        • 更新你的应用
          • 执行滚动更新
          • 交互式教程 - 更新你的应用
      • 配置
        • 示例：配置 java 微服务
          • 使用 MicroProfile、ConfigMaps、Secrets 实现外部化应用配置
          • 互动教程 - 配置 java 微服务
        • 使用 ConfigMap 来配置 Redis
      • 安全
        • 使用 AppArmor 限制容器对资源的访问
        • 在集群级别应用 Pod 安全标准
        • 在名字空间级别应用 Pod 安全标准
        • 使用 seccomp 限制容器的系统调用
      • 无状态应用程序
        • 公开外部 IP 地址以访问集群中应用程序
        • 示例：使用 Redis 部署 PHP 留言板应用程序
      • 有状态的应用
        • StatefulSet 基础
        • 示例：使用持久卷部署 WordPress 和 MySQL
        • 示例：使用 StatefulSet 部署 Cassandra
        • 运行 ZooKeeper，一个分布式协调系统
      • Services
        • 使用源 IP
    • 参考
      • 词汇表
      • API 概述
        • Kubernetes API 概念
        • 服务器端应用（Server-Side Apply）
        • 客户端库
        • Kubernetes 弃用策略
        • 已弃用 API 的迁移指南
        • Kubernetes API 健康端点
      • API 访问控制
        • 用户认证
        • 使用启动引导令牌（Bootstrap Tokens）认证
        • 证书签名请求
        • 使用准入控制器
        • 动态准入控制
        • 管理服务账号
        • 鉴权概述
        • 使用 RBAC 鉴权
        • 使用 ABAC 鉴权
        • 使用 Node 鉴权
        • Webhook 模式
        • 从 PodSecurityPolicy 映射到 Pod 安全性标准
        • Kubelet 认证/鉴权
        • TLS 启动引导
      • 众所周知的标签、注解和污点
        • 审计注解
      • Kubernetes API
        • 工作负载资源
          • Pod
          • PodTemplate
          • ReplicationController
          • ReplicaSet
          • Deployment
          • StatefulSet
          • ControllerRevision
          • DaemonSet
          • Job
          • CronJob
          • HorizontalPodAutoscaler
          • HorizontalPodAutoscaler
          • HorizontalPodAutoscaler v2beta2
          • PriorityClass
        • Service 资源
          • Service
          • Endpoints
          • EndpointSlice
          • Ingress
          • IngressClass
        • 配置和存储资源
          • ConfigMap
          • Secret
          • Volume
          • PersistentVolumeClaim
          • PersistentVolume
          • StorageClass
          • VolumeAttachment
          • CSIDriver
          • CSINode
          • CSIStorageCapacity
        • 身份认证资源
          • ServiceAccount
          • TokenRequest
          • TokenReview
          • CertificateSigningRequest
        • 鉴权资源
          • LocalSubjectAccessReview
          • SelfSubjectAccessReview
          • SelfSubjectRulesReview
          • SubjectAccessReview
          • ClusterRole
          • ClusterRoleBinding
          • Role
          • RoleBinding
        • 策略资源
          • LimitRange
          • ResourceQuota
          • NetworkPolicy
          • PodDisruptionBudget
        • 扩展资源
          • CustomResourceDefinition
          • MutatingWebhookConfiguration
          • ValidatingWebhookConfiguration
        • 集群资源
          • Node
          • Namespace
          • Event
          • APIService
          • Lease
          • RuntimeClass
          • FlowSchema v1beta2
          • PriorityLevelConfiguration v1beta2
          • Binding
          • ComponentStatus
          • ClusterCIDR v1alpha1
        • 公共定义
          • DeleteOptions
          • LabelSelector
          • ListMeta
          • LocalObjectReference
          • NodeSelectorRequirement
          • ObjectFieldSelector
          • ObjectMeta
          • ObjectReference
          • Patch
          • Quantity
          • ResourceFieldSelector
          • Status
          • TypedLocalObjectReference
          • 常用参数
      • Kubernetes 问题和安全
        • Kubernetes 问题追踪
        • Kubernetes 安全和信息披露
        • 官方 CVE 订阅源
      • 节点参考信息
        • Kubelet Checkpoint API
        • 关于 dockershim 移除和使用兼容 CRI 运行时的文章
      • 安装工具
        • Kubeadm
          • kubeadm init
          • kubeadm join
          • kubeadm upgrade
          • kubeadm config
          • kubeadm reset
          • kubeadm token
          • kubeadm version
          • kubeadm alpha
          • kubeadm certs
          • kubeadm init phase
          • kubeadm join phase
          • kubeadm kubeconfig
          • kubeadm reset phase
          • kubeadm upgrade phase
          • 实现细节
      • 端口和协议
      • 命令行工具 (kubectl)
        • kubectl 备忘单
        • kubectl 命令
        • kubectl
        • JSONPath 支持
        • kubectl 的用法约定
        • 适用于 Docker 用户的 kubectl
      • 组件工具
        • 特性门控
        • kubelet
        • kube-apiserver
        • kube-controller-manager
        • kube-proxy
        • kube-scheduler
      • 配置 API
        • Event Rate Limit Configuration (v1alpha1)
        • Image Policy API (v1alpha1)
        • kube-apiserver Audit 配置 (v1)
        • kube-apiserver 加密配置 (v1)
        • kube-apiserver 配置 (v1)
        • kube-apiserver 配置 (v1alpha1)
        • kube-proxy 配置 (v1alpha1)
        • kube-scheduler 配置 (v1)
        • kube-scheduler 配置 (v1beta2)
        • kube-scheduler 配置 (v1beta3)
        • kubeadm 配置 (v1beta2)
        • kubeadm 配置 (v1beta3)
        • Kubelet CredentialProvider (v1alpha1)
        • Kubelet CredentialProvider (v1beta1)
        • Kubelet 配置 (v1alpha1)
        • Kubelet 配置 (v1beta1)
        • WebhookAdmission 配置 (v1)
        • 客户端身份认证（Client Authentication） (v1)
        • 客户端身份认证（Client Authentication）(v1beta1)
      • 调度
        • 调度器配置
        • 调度策略
      • 其他工具
        • 从 Docker 命令行映射到 crictl
    • 贡献
      • 提出内容改进建议
      • 贡献新内容
        • 发起拉取请求（PR）
        • 为发行版本撰写文档
        • 博客和案例分析
      • 评阅变更
        • 评审 PR
        • 评阅人和批准人
      • 本地化 Kubernetes 文档
      • 参与 SIG Docs
        • 角色与责任
        • PR 管理者
      • 参考文档概述
        • 为上游 Kubernetes 代码库做出贡献
        • 快速入门
        • 为 Kubernetes API 生成参考文档
        • 为 kubectl 命令集生成参考文档
        • 为 Kubernetes 组件和工具生成参考文档
      • 文档样式概述
        • 内容指南
        • 样式指南
        • 图表指南
        • 撰写新主题
        • 页面内容类型
        • 内容组织
        • 定制 Hugo 短代码
      • 进阶贡献
      • 查看站点分析
      • 中文本地化样式指南
    暂无相关搜索结果！

      本文档使用 BookStack 构建

      展开/收起文章目录

      分享，让知识传承更久远

      文章二维码

      手机扫一扫，轻松掌上读

      文档下载

      • 普通下载
      • 下载码下载(免登录无限下载)
      你与大神的距离，只差一个APP
      APP下载
      请下载您需要的格式的文档，随时随地，享受汲取知识的乐趣！
      PDF文档 EPUB文档 MOBI文档
      温馨提示 每天每在网站阅读学习一分钟时长可下载一本电子书，每天连续签到可增加阅读时长
      下载码方式下载：免费、免登录、无限制。 免费获取下载码

      微信小程序阅读

      BookChat 微信小程序阅读
      您与他人的薪资差距，只差一个随时随地学习的小程序

      书签列表

        阅读记录

        阅读进度: 0.00% ( 0/0 ) 重置阅读进度