Container Service for Kubernetes:FAQ keamanan kontainer

Mengapa tidak ada konektivitas jaringan antar kontainer?

Dua kesalahan konfigurasi security group biasanya menyebabkan masalah ini.

Penyebab 1: Aturan inbound untuk Pod Network CIDR dihapus

Aturan yang diperlukan mengizinkan seluruh lalu lintas dari blok CIDR pod. Tanpa aturan tersebut, komunikasi antar kontainer gagal.

Solusi: Tambahkan kembali aturan yang hilang.

1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

2. Pada halaman Clusters, temukan kluster target lalu klik namanya. Di panel navigasi kiri, klik Cluster Information.

3. Pada halaman Cluster Information, klik tab Basic Information. Klik tautan di sebelah Control Plane Security Group untuk membuka halaman security group di Konsol ECS.

4. Pada halaman Security Groups, klik tab Inbound, lalu klik Add Rule. Pada kotak dialog, konfigurasikan aturan tersebut lalu klik Submit.

   Field	Value
   Action	Allow
   Priority	Default
   Protocol	All Traffic
   Source	Blok CIDR Pod (temukan nilai ini di bawah Pod Network CIDR pada bagian Network di halaman detail kluster)

Penyebab 2: Instance ECS baru berada dalam security group yang berbeda dengan kluster

Solusi: Dapatkan ID security group kluster dari tab Basic Information > bidang Security Group, lalu tambahkan instance ECS ke security group tersebut. Untuk detailnya, lihat Tambahkan instance ke, hapus instance dari, atau ganti security group untuk sebuah instance.

Bagaimana cara menentukan security group untuk kluster Kubernetes?

Saat membuat kluster

ACK secara otomatis membuat security group default saat pembuatan kluster. Untuk menggunakan aturan kustom, ubah security group ini setelah pembuatan. Untuk informasi lebih lanjut, lihat Konfigurasikan security group kluster.

Untuk kluster yang sudah ada

1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

2. Pada halaman Clusters, temukan kluster target lalu klik namanya. Di panel navigasi kiri, klik Cluster Information.

3. Pada halaman Cluster Information, klik tab Basic Information. Di bagian Network, klik Edit di sebelah Control Plane Security Group.

4. Pada kotak dialog, pilih security group lalu klik OK.

Apakah fitur audit kluster dapat dinonaktifkan atau diaktifkan setelah kluster dibuat?

Ya. Untuk informasi lebih lanjut, lihat Gunakan fitur audit API server kluster.

Bagaimana cara mengubah periode validitas sertifikat dan mengganti sertifikat komponen untuk kluster ACK Dedicated?

ACK mengirim pesan internal dan notifikasi sekitar dua bulan sebelum sertifikat kluster Anda kedaluwarsa. Setelah menerima notifikasi tersebut, buka halaman Clusters di konsol lalu klik tombol pembaruan. Untuk informasi lebih lanjut, lihat Perbarui sertifikat yang akan kedaluwarsa untuk kluster khusus ACK.

Jika sertifikat telah kedaluwarsa, lihat Perbarui sertifikat yang telah kedaluwarsa untuk kluster khusus ACK.

Mengapa saya tidak dapat membuat pod, dan mengapa muncul error "no providers available to validate pod request"?

Jika Anda belum mengonfigurasi Pod Security Policy (PSP) kustom, error ini terjadi karena PSP default telah dihapus. Pulihkan aturan PSP default untuk mengatasinya. Untuk detailnya, lihat \[Deprecated\] Gunakan Pod Security Policies.

Untuk mengonfigurasi PSP kustom sebagai gantinya, lihat Aktifkan manajemen kebijakan keamanan.

Mengapa saya tidak dapat menggunakan Secret di namespace baru?

Secret bersifat namespace-scoped — setiap namespace memiliki kumpulan Secret-nya sendiri yang terisolasi, dan pod hanya dapat mengakses Secret yang berada dalam namespace yang sama.

Untuk menggunakan Secret di namespace baru, buat Secret tersebut langsung di namespace tersebut.

Mengapa saya tidak dapat memasang default-token?

Penyebab: Versi systemd pada node terlalu lama.

Pesan error terlihat seperti berikut:

Normal Scheduled 13m default-scheduler Successfully assigned dev/alibaba-demo-67fcdbfb8-zklnp to cn-hangzhou.10.7.3.16  Warning FailedMount 13m (x2 over 13m) kubelet, cn-hangzhou.10.7.3.16 MountVolume.SetUp failed for volume 'default-token-8twx9' : mount failed: exit status 1 Mounting command: systemd-run Mounting arguments: --description=Kubernetes transient mount for /var/lib/kubelet/pods/62d39b35-9a4d-11ea-9870-c24d56a0e904/volumes/kubernetes.io~secret/default-token-8twx9 --scope -- mount -t tmpfs tmpfs /var/lib/kubelet/pods/62d39b35-9a4d-11ea-9870-c24d56a0e904/volumes/kubernetes.io~secret/default-token-8twx9 Output: Failed to start transient scope unit: Argument list too long  Warning FailedCreatePodContainer 3m40s (x49 over 13m) kubelet, cn-hangzhou.10.7.3.16 unable to ensure pod container exists: failed to create container for [kubepods burstable pod62d39b35-9a4d-11ea-9870-c24d56a0e904] : Argument list too long

Terapkan salah satu solusi berikut:

• Upgrade systemd. Untuk informasi lebih lanjut, lihat komentar GitHub pada kubernetes/kubernetes #57345.

• Jalankan sudo systemctl daemon-reload untuk restart dan reset daemon. Untuk informasi lebih lanjut, lihat komentar GitHub pada kubernetes/kubernetes #57345.

Bagaimana cara melakukan kueri log audit?

Log audit disimpan di Simple Log Service (SLS). Untuk membuka Logstore:

1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

2. Pada halaman Clusters, temukan kluster target lalu klik namanya. Di panel navigasi kiri, klik Cluster Information.

3. Pada halaman Cluster Information, klik tab Basic Information. Klik tautan di sebelah Log Service Project untuk membuka konsol SLS.

4. Pada halaman Log Storage > Logstores, pilih Logstore audit-<cluster_id> lalu klik Search & Analyze di pojok kanan atas.

5. Pilih rentang waktu yang mencakup periode ketika sistem masih berfungsi normal hingga saat terjadi masalah — misalnya, 3 hari, 7 hari, atau 15 hari.

6. Pada kotak teks Search & Analyze, masukkan kueri lalu klik Search & Analyze.

7. Untuk mengunduh hasilnya, klik ikon lalu pilih Download Log. Konfigurasikan pengaturan unduhan pada kotak dialog lalu klik OK.

requestURI: "rbac.authorization.k8s.io" not (verb: get or verb: watch)

requestURI: "configmaps" and <configmap_name> not (verb: get or verb: watch or verb: list)

requestURI: deployments and (verb: update or verb: patch) and replicas and deployments and <deployment_name> not deployment-controller