Container Service for Kubernetes:コンテナーセキュリティに関するよくある質問

• コンテナー間にネットワーク接続がないのはなぜですか？

• Kubernetes クラスターのセキュリティグループを指定するにはどうすればよいですか？

• クラスターの作成後にクラスター監査機能を無効または有効にできますか？

• ACK 専用クラスターの証明書の有効期間を変更し、コンポーネント証明書を置き換えるにはどうすればよいですか？

• Pod を作成できず、「no providers available to validate pod request」というエラーが表示されるのはなぜですか？

• 新しい名前空間で Secret を使用できないのはなぜですか？

• default-token をマウントできないのはなぜですか？

• 監査ログをクエリするにはどうすればよいですか？

• ACK Edge クラスターノードの診断情報を収集するにはどうすればよいですか？

• CentOS 7.6 上の Kubernetes クラスターの kubelet ログに「Reason:KubeletNotReady Message:PLEG is not healthy:」というメッセージが含まれるのはなぜですか？

コンテナー間にネットワーク接続がないのはなぜですか？

ACK クラスターでセキュリティグループが原因で発生するネットワーク接続の問題を解決するには、次の手順に従います。

• [承認オブジェクト] が [Pod ネットワーク CIDR] に設定され、[プロトコルタイプ] が [すべて] に設定されているインバウンドルールが削除されました。

  1. ACK コンソールにログインします。 左側のナビゲーションウィンドウで、[クラスター] をクリックします。

  2. クラスター ページで、対象のクラスターを見つけてその名前をクリックします。 左側のナビゲーションウィンドウで、クラスター情報 をクリックします。

  3. [クラスター情報] ページで、[基本情報] タブをクリックします。 [コントロールプレーンセキュリティグループ] の横にあるリンクをクリックして、ECS コンソールのセキュリティグループページに移動します。

  4. [セキュリティグループ] ページの [インバウンド] タブで、[ルールの追加] をクリックします。 表示されるダイアログボックスで、ルールを設定し、[OK] をクリックします。

     • [ポリシー]: 許可。

     • [優先度]: デフォルト。

     • [プロトコル]: [すべてのトラフィック] を選択します。

     • [ソース]: Pod CIDR ブロックを入力します。 Pod CIDR ブロック (Pod ネットワーク CIDR) は、Container Service コンソールのクラスター詳細ページの [ネットワーク] セクションから取得できます。

[アクセスソース] が Pod ネットワーク CIDR で、[プロトコル] が [すべてのトラフィック] であるインバウンドルールが追加されました。

• 新しい ECS インスタンスのセキュリティグループがクラスターのセキュリティグループと異なります。

  1. ACK コンソールにログインします。 左側のナビゲーションウィンドウで、[クラスター] をクリックします。

  2. クラスター ページで、対象のクラスターを見つけてその名前をクリックします。 左側のナビゲーションウィンドウで、クラスター情報 をクリックします。

  3. [クラスター情報] ページで、[基本情報] タブをクリックし、[セキュリティグループ] フィールドからセキュリティグループ ID を記録します。

  4. 前の手順で記録したクラスターのセキュリティグループにターゲット ECS インスタンスを追加します。 ECS インスタンスをセキュリティグループに追加する方法の詳細については、「インスタンスのセキュリティグループへの追加、インスタンスの削除、またはインスタンスのセキュリティグループの切り替え」をご参照ください。

Kubernetes クラスターのセキュリティグループを指定するにはどうすればよいですか？

クラスター作成時にセキュリティグループを指定する

Kubernetes クラスターを作成すると、ACK はデフォルトのセキュリティグループを自動的に作成します。 必要に応じて、このセキュリティグループのルールを変更できます。 詳細については、「クラスターセキュリティグループの設定」をご参照ください。

既存のクラスターで関連付けられているセキュリティグループを変更する

1. ACK コンソールにログインします。 左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、対象のクラスターの名前をクリックします。 左側のナビゲーションウィンドウで、[クラスター情報] を選択します。

3. [クラスター情報] ページで、[基本情報] タブをクリックします。 [ネットワーク] セクションで、[コントロールプレーンセキュリティグループ] の横にある [編集] をクリックします。

4. 表示されるダイアログボックスで、使用するセキュリティグループを選択し、[OK] をクリックします。

クラスターの作成後にクラスター監査機能を無効またはデプロイできますか？

はい。 詳細については、「クラスター API サーバー監査機能の使用」をご参照ください。

ACK 専用クラスターの証明書の有効期間を変更し、コンポーネント証明書を置き換えるにはどうすればよいですか？

• クラスター証明書の有効期限が切れる約 2 か月前に、内部メッセージと通知が届きます。 通知を受け取ったら、コンソールの [クラスター] ページに移動し、ボタンをクリックして証明書を更新します。 詳細については、「ACK 専用クラスターの有効期限が切れる証明書を更新する」をご参照ください。

• Kubernetes クラスター証明書の有効期限が切れている場合は、「ACK 専用クラスターの有効期限切れの証明書を更新する」をご参照ください。

Pod を作成できず、「no providers available to validate pod request」というエラーが表示されるのはなぜですか？

• カスタム Pod セキュリティポリシー (PSP) を設定していない場合、このエラーはデフォルトの PSP を削除したために発生します。 この問題を解決するには、デフォルトの PSP ルールを復元します。 詳細については、「[非推奨] Pod セキュリティポリシーの使用」をご参照ください。

• カスタム PSP を設定するには、「セキュリティポリシー管理を有効にする」をご参照ください。

新しい名前空間で Secret を使用できないのはなぜですか？

Secret は名前空間スコープです。 新しい名前空間に Secret を作成する必要があります。

default-token をマウントできないのはなぜですか？

Normal Scheduled 13m default-scheduler Successfully assigned dev/alibaba-demo-67fcdbfb8-zklnp to cn-hangzhou.10.7.3.16  Warning FailedMount 13m (x2 over 13m) kubelet, cn-hangzhou.10.7.3.16 MountVolume.SetUp failed for volume 'default-token-8twx9' : mount failed: exit status 1 Mounting command: systemd-run Mounting arguments: --description=Kubernetes transient mount for /var/lib/kubelet/pods/62d39b35-9a4d-11ea-9870-c24d56a0e904/volumes/kubernetes.io~secret/default-token-8twx9 --scope -- mount -t tmpfs tmpfs /var/lib/kubelet/pods/62d39b35-9a4d-11ea-9870-c24d56a0e904/volumes/kubernetes.io~secret/default-token-8twx9 Output: Failed to start transient scope unit: Argument list too long  Warning FailedCreatePodContainer 3m40s (x49 over 13m) kubelet, cn-hangzhou.10.7.3.16 unable to ensure pod container exists: failed to create container for [kubepods burstable pod62d39b35-9a4d-11ea-9870-c24d56a0e904] : Argument list too long

この問題は、systemd のバージョンが古すぎるために発生します。

• systemd をアップグレードします。 詳細については、「systemd」をご参照ください。

• sudo systemctl daemon-reload コマンドを実行して、デーモンを再起動およびリセットします。 詳細については、「systemd」をご参照ください。

監査ログをクエリするにはどうすればよいですか？

requestURI: "configmaps" and <configmap_name> not (verb: get or verb: watch or verb: list) 

requestURI: deployments and (verb: update or verb: patch) and replicas and deployments and <deployment_name> not deployment-controller