Container Service for Kubernetes:Container security FAQ

Pourquoi n'y a-t-il aucune connectivité réseau entre les conteneurs ?

Deux erreurs de configuration des groupes de sécurité sont généralement à l'origine de ce problème.

Cause 1 : La règle entrante pour le CIDR du réseau de pods a été supprimée

La règle requise autorise tout le trafic provenant du bloc CIDR des pods. Sans elle, la communication entre les conteneurs échoue.

Solution : Ajoutez à nouveau la règle manquante.

1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

2. Sur la page Clusters, localisez le cluster cible et cliquez sur son nom. Dans le volet de navigation de gauche, cliquez sur Cluster Information.

3. Sur la page Cluster Information, cliquez sur l'onglet Basic Information. Cliquez sur le lien situé à côté de Control Plane Security Group pour ouvrir la page du groupe de sécurité dans la console ECS.

4. Sur la page Security Groups, cliquez sur l'onglet Inbound, puis cliquez sur Add Rule. Dans la boîte de dialogue, configurez la règle et cliquez sur Submit.

   Champ	Valeur
   Action	Allow
   Priority	Default
   Protocol	All Traffic
   Source	Bloc CIDR des pods (recherchez cette information sous Pod Network CIDR dans la section Network de la page des détails du cluster)

Cause 2 : Une nouvelle instance ECS se trouve dans un groupe de sécurité différent de celui du cluster

Solution : Récupérez l'ID du groupe de sécurité du cluster depuis l'onglet Basic Information > champ Security Group, puis ajoutez l'instance ECS à ce groupe de sécurité. Pour plus de détails, consultez la rubrique Ajouter une instance à, supprimer une instance d'un groupe de sécurité ou changer le groupe de sécurité d'une instance.

Comment spécifier un groupe de sécurité pour un cluster Kubernetes ?

Lors de la création d'un cluster

ACK crée automatiquement un groupe de sécurité par défaut lors de la création du cluster. Pour utiliser des règles personnalisées, modifiez ce groupe de sécurité après la création. Pour plus d'informations, consultez la rubrique Configurer un groupe de sécurité de cluster.

Pour un cluster existant

1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

2. Sur la page Clusters, localisez le cluster cible et cliquez sur son nom. Dans le volet de navigation de gauche, cliquez sur Cluster Information.

3. Sur la page Cluster Information, cliquez sur l'onglet Basic Information. Dans la section Network, cliquez sur Edit à côté de Control Plane Security Group.

4. Dans la boîte de dialogue, sélectionnez le groupe de sécurité et cliquez sur OK.

Peut-on désactiver ou activer la fonctionnalité d'audit du cluster après sa création ?

Oui. Pour plus d'informations, consultez la rubrique Utiliser la fonctionnalité d'audit du serveur API du cluster.

Comment modifier la période de validité des certificats et remplacer les certificats des composants pour un cluster ACK Dedicated ?

ACK envoie des messages internes et des notifications environ deux mois avant l'expiration du certificat de votre cluster. Après avoir reçu la notification, accédez à la page Clusters dans la console et cliquez sur le bouton de mise à jour. Pour plus d'informations, consultez la rubrique Mettre à jour un certificat sur le point d'expirer pour un cluster ACK Dedicated.

Si le certificat a déjà expiré, consultez la rubrique Mettre à jour un certificat expiré pour un cluster ACK Dedicated.

Pourquoi ne puis-je pas créer de pod et pourquoi l'erreur « no providers available to validate pod request » s'affiche-t-elle ?

Si vous n'avez pas configuré de Pod Security Policy (PSP) personnalisée, cette erreur se produit parce que la PSP par défaut a été supprimée. Restaurez les règles PSP par défaut pour résoudre le problème. Pour plus de détails, consultez la rubrique Utiliser les Pod Security Policies (obsolète).

Pour configurer une PSP personnalisée à la place, consultez la rubrique Activer la gestion des politiques de sécurité.

Pourquoi ne puis-je pas utiliser un Secret dans un nouveau namespace ?

Les Secrets sont limités au scope du namespace : chaque namespace maintient son propre ensemble isolé de Secrets, et les pods ne peuvent accéder qu'aux Secrets situés dans le même namespace.

Pour utiliser un Secret dans un nouveau namespace, créez le Secret directement dans ce namespace.

Pourquoi ne puis-je pas monter le default-token ?

Cause : La version de systemd sur le nœud est trop ancienne.

Le message d'erreur ressemble à ceci :

Normal Scheduled 13m default-scheduler Successfully assigned dev/alibaba-demo-67fcdbfb8-zklnp to cn-hangzhou.10.7.3.16  Warning FailedMount 13m (x2 over 13m) kubelet, cn-hangzhou.10.7.3.16 MountVolume.SetUp failed for volume 'default-token-8twx9' : mount failed: exit status 1 Mounting command: systemd-run Mounting arguments: --description=Kubernetes transient mount for /var/lib/kubelet/pods/62d39b35-9a4d-11ea-9870-c24d56a0e904/volumes/kubernetes.io~secret/default-token-8twx9 --scope -- mount -t tmpfs tmpfs /var/lib/kubelet/pods/62d39b35-9a4d-11ea-9870-c24d56a0e904/volumes/kubernetes.io~secret/default-token-8twx9 Output: Failed to start transient scope unit: Argument list too long  Warning FailedCreatePodContainer 3m40s (x49 over 13m) kubelet, cn-hangzhou.10.7.3.16 unable to ensure pod container exists: failed to create container for [kubepods burstable pod62d39b35-9a4d-11ea-9870-c24d56a0e904] : Argument list too long

Appliquez l'une des corrections suivantes :

• Mettez à niveau systemd. Pour plus d'informations, consultez le commentaire GitHub sur kubernetes/kubernetes #57345.

• Exécutez la commande sudo systemctl daemon-reload pour redémarrer et réinitialiser le daemon. Pour plus d'informations, consultez le commentaire GitHub sur kubernetes/kubernetes #57345.

Comment interroger les journaux d'audit ?

Les journaux d'audit sont stockés dans Simple Log Service (SLS). Pour ouvrir le Logstore :

1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

2. Sur la page Clusters, localisez le cluster cible et cliquez sur son nom. Dans le volet de navigation de gauche, cliquez sur Cluster Information.

3. Sur la page Cluster Information, cliquez sur l'onglet Basic Information. Cliquez sur le lien situé à côté de Log Service Project pour ouvrir la console SLS.

4. Sur la page Log Storage > Logstores, sélectionnez le Logstore audit-<cluster_id> et cliquez sur Search & Analyze dans le coin supérieur droit.

5. Sélectionnez une plage de temps couvrant la période allant du moment où le système fonctionnait correctement jusqu'à l'apparition du problème, par exemple 3 jours, 7 jours ou 15 jours.

6. Dans la zone de texte Search & Analyze, saisissez une requête et cliquez sur Search & Analyze.

7. Pour télécharger les résultats, cliquez sur l'icône et sélectionnez Download Log. Configurez les paramètres de téléchargement dans la boîte de dialogue et cliquez sur OK.

requestURI: "rbac.authorization.k8s.io" not (verb: get or verb: watch)

requestURI: "configmaps" and <configmap_name> not (verb: get or verb: watch or verb: list)

requestURI: deployments and (verb: update or verb: patch) and replicas and deployments and <deployment_name> not deployment-controller