Whats

Admission是Kubernetes集群中一种机制#xff0c;用于控制和修改集群中的资源对象。

它允许您在Kubernetes资源被创建、更新或删除之前#xff0c;对资源…最近准备花一周的时间准备CKS考试在准备考试中发现有一个题目关于Admission。

Whats

Admission是Kubernetes集群中一种机制用于控制和修改集群中的资源对象。

它允许您在Kubernetes资源被创建、更新或删除之前对资源做出预处理或修改。

API服务器上拦截所有传入的请求并根据定义的策略对资源进行审查和修改。

它可以用来实现各种强制策略例如强制应用标准命名约定、强制资源配额或限制、自动注入辅助容器等。

Admission控制器可以使用多种方式实现包括ValidatingAdmissionWebhook和MutatingAdmissionWebhook。

ValidatingAdmissionWebhook用于对资源做出审查例如校验资源的名称和标签是否符合规范。

MutatingAdmissionWebhook则可以对资源进行修改例如自动注入辅助容器。

通过使用Admission控制器您可以增强Kubernetes的安全性、可靠性和一致性并根据自己的需求对资源对象进行自定义处理。

Question

/etc/kubernetes/admission-control/admission-control.conf,

and

/etc/kubernetes/admission-control/imagepolicy.conf.

这段话的意思是需要对集群进行配置以便在运行工作负载之前扫描传入的容器镜像。

已经设置好了一个镜像扫描服务。

要修改准入控制配置使其在无法访问镜像扫描服务的情况下隐式拒绝镜像。

全局准入控制配置位于/etc/kubernetes/admission-control/admission-control.conf而准入控制器的具体配置位于/etc/kubernetes/admission-control/imagepolicy.conf。

Practice

在k8s-control中根据提供的imagepolicy.conf所在位置进行编辑设置以下内容

defaultAllow:

https://acg.trivy.k8s.webhook:8090/scan

这句话的意思是将image扫描服务的URL添加到由准入控制器使用的kubeconfig中。

该服务可以通过https://acg.trivy.k8s.webhook:8090/scan访问。

Practice

在提供的imagepolicy.conf文件你会发现有以下的一段

kubeConfigFile:

/etc/kubernetes/admission-control/imagepolicy_backend.kubeconfig,

/etc/kubernetes/admission-control/imagepolicy_backend.kubeconfig这就是你的kubeconfig文件

server:

https://acg.trivy.k8s.webhook:8090/scanQuestion

***

这段话的意思是在kube-apiserver的配置文件中启用任何必要的准入控制插件来扫描镜像。

在CLI服务器的/home/cloud_user目录中有两个Pod

文件。

如果您的设置正常工作no-vulns-pod.yml应该通过镜像验证而vulns-pod.yml应该由于存在漏洞而失败。

Practice

在这里就是需要将ImagePolicyWebhook给应用到kube-apiserver中

我们需要在/etc/kubernetes/manifests/kube-apiserver.yaml文件中修改如下内容

--enable-admissions-pluginsNodeRestriction,ImagePolicyWebhook验证

create

来验证这两个podvulns-pod.yml将不会创建成功no-vulns-pod.yml会创建成功