Kubernetes
Простыми словами
Kubernetes управляет запуском контейнерных приложений на группе узлов: поддерживает желаемое состояние, распределяет экземпляры, обновляет их и предоставляет сетевые и конфигурационные механизмы. Платформа не делает контейнер безопасным автоматически.
Как применяется
Команда описывает нагрузки декларативно, разделяет пространства имён и сервисные учётные записи, ограничивает права RBAC, сетевые взаимодействия и привилегии контейнеров. Образы проверяют до запуска, секреты защищают, а аудит control plane передают в мониторинг.
Пример применения
Веб-сервис запускается без root, с read-only filesystem и отдельной service account. NetworkPolicy разрешает ему обращаться только к API и базе, admission policy блокирует неподписанный образ, а изменения Deployment видны в аудите.
Не путать с
- OpenShiftOpenShift — платформа на основе Kubernetes с дополнительными компонентами и политиками, а виртуальная машина изолирует полный гостевой стек.
Как это работает
- Описать состояниеМанифест задаёт образ, ресурсы, конфигурацию, сеть и требуемое число экземпляров.
- Принять и проверитьAPI server аутентифицирует запрос, применяет авторизацию и admission-политики, затем сохраняет состояние.
- Разместить нагрузкуПланировщик выбирает узел, kubelet получает образ и запускает контейнеры через runtime.
- Согласовывать состояниеКонтроллеры обнаруживают отклонения, перезапускают, масштабируют и обновляют объекты, а события поступают в наблюдаемость.
Продолжить изучение
Частые вопросы
Нет. Он предоставляет механизмы, но безопасный результат зависит от настроек, образов, прав, сети и эксплуатации.
Где хранить секреты Kubernetes?Не в открытых манифестах и репозиториях; используют шифрование etcd, ограничение RBAC и при необходимости внешний менеджер секретов.
Зачем ограничивать service account?Под получает её токен и права; избыточная роль позволяет скомпрометированной нагрузке управлять ресурсами кластера.