Container Service for Kubernetes:Container security FAQ

• Por que não há conectividade de rede entre os contêineres?

• Como especificar um grupo de segurança para um cluster Kubernetes?

• É possível desativar ou ativar o recurso de auditoria do cluster após a criação?

• Como alterar o período de validade do certificado e substituir certificados de componentes em um cluster ACK Dedicated?

• Por que não consigo criar um pod e por que o erro "no providers available to validate pod request" é exibido?

• Por que não consigo usar um Secret em um novo namespace?

• Por que não consigo montar o default-token?

• Como consultar logs de auditoria?

• Como coletar informações de diagnóstico para nós de cluster ACK Edge?

• Por que os logs do kubelet de um cluster Kubernetes no CentOS 7.6 contêm a mensagem "Reason:KubeletNotReady Message:PLEG is not healthy:"?

Por que não há conectividade de rede entre os contêineres?

Siga estas etapas para resolver problemas de conectividade de rede em um cluster ACK causados por grupos de segurança.

• A regra de entrada na qual a Source estava definida como Pod Network CIDR e o Protocol como All Traffic foi excluída.

  1. Faça login no ACK console. No painel de navegação à esquerda, clique em Clusters.

  2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Cluster Information.

  3. Na página Cluster Information, clique na aba Basic Information. Clique no link ao lado de Control Plane Security Group para acessar a página do grupo de segurança no console do ECS.

  4. Na página Security Groups, na aba Inbound, clique em Add Rule. Na caixa de diálogo exibida, configure a regra e clique em Submit.

     • Action: Allow.

     • Priority: Default.

     • Protocol: Selecione All Traffic.

     • Source: Insira o bloco CIDR do pod. Obtenha o bloco CIDR do pod (Pod Network CIDR) na seção Network da página de detalhes do cluster no console do ACK.

Uma regra de entrada foi adicionada com a Source definida como o CIDR da rede do Pod e o Protocol como All Traffic.

• O grupo de segurança da nova instância ECS difere do grupo de segurança do cluster.

  1. Faça login no ACK console. No painel de navegação à esquerda, clique em Clusters.

  2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Cluster Information.

  3. Na página Cluster Information, clique na aba Basic Information e anote o ID do grupo de segurança no campo Security Group.

  4. Adicione a instância ECS de destino ao grupo de segurança do cluster anotado na etapa anterior. Para mais informações sobre como adicionar uma instância ECS a um grupo de segurança, consulte Adicionar uma instância a, remover uma instância de ou alternar o grupo de segurança de uma instância.

Como especificar um grupo de segurança para um cluster Kubernetes?

Especificar um grupo de segurança durante a criação do cluster

Ao criar um cluster Kubernetes, o ACK cria automaticamente um grupo de segurança padrão. Modifique as regras desse grupo de segurança conforme necessário. Para mais informações, consulte Configurar um grupo de segurança de cluster.

Modificar o grupo de segurança associado em um cluster existente

1. Faça login no ACK console. No painel de navegação à esquerda, clique em Clusters.

2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Cluster Information.

3. Na página Cluster Information, clique na aba Basic Information. Na seção Network, clique em Edit ao lado de Control Plane Security Group.

4. Na caixa de diálogo exibida, selecione o grupo de segurança desejado e clique em OK.

É possível desativar ou ativar o recurso de auditoria do cluster após a criação?

Sim. Para mais informações, consulte Usar o recurso de auditoria do servidor de API do cluster.

Como alterar o período de validade do certificado e substituir certificados de componentes em um cluster ACK Dedicated?

• Cerca de dois meses antes da expiração do certificado do cluster, você receberá mensagens internas e notificações. Após receber a notificação, acesse a página Clusters no console e clique no botão para atualizar o certificado. Para mais informações, consulte Atualizar um certificado prestes a expirar para um cluster ACK Dedicated.

• Caso o certificado do seu cluster Kubernetes já tenha expirado, consulte Atualizar um certificado expirado para um cluster ACK Dedicated.

Por que não consigo criar um pod e por que o erro "no providers available to validate pod request" é exibido?

• Se nenhuma Política de Segurança de Pod (PSP) personalizada foi configurada, esse erro ocorre porque a PSP padrão foi excluída. Para resolver, restaure as regras da PSP padrão. Para mais informações, consulte [[Descontinuado] Usar Políticas de Segurança de Pod](t1888072.dita#task_2495517).

• Para configurar uma PSP personalizada, consulte Ativar governança de políticas.

Por que não consigo usar um Secret em um novo namespace?

Os Secrets têm escopo de namespace. Crie o Secret no novo namespace.

Por que não consigo montar o default-token?

Normal Scheduled 13m default-scheduler Successfully assigned dev/alibaba-demo-67fcdbfb8-zklnp to cn-hangzhou.10.7.3.16  Warning FailedMount 13m (x2 over 13m) kubelet, cn-hangzhou.10.7.3.16 MountVolume.SetUp failed for volume 'default-token-8twx9' : mount failed: exit status 1 Mounting command: systemd-run Mounting arguments: --description=Kubernetes transient mount for /var/lib/kubelet/pods/62d39b35-9a4d-11ea-9870-c24d56a0e904/volumes/kubernetes.io~secret/default-token-8twx9 --scope -- mount -t tmpfs tmpfs /var/lib/kubelet/pods/62d39b35-9a4d-11ea-9870-c24d56a0e904/volumes/kubernetes.io~secret/default-token-8twx9 Output: Failed to start transient scope unit: Argument list too long  Warning FailedCreatePodContainer 3m40s (x49 over 13m) kubelet, cn-hangzhou.10.7.3.16 unable to ensure pod container exists: failed to create container for [kubepods burstable pod62d39b35-9a4d-11ea-9870-c24d56a0e904] : Argument list too long

Esse problema ocorre porque a versão do systemd é muito antiga.

• Atualize o systemd. Para mais informações, consulte systemd.

• Execute o comando sudo systemctl daemon-reload para reiniciar e redefinir o daemon. Para mais informações, consulte systemd.

Como consultar logs de auditoria?

requestURI: "configmaps" and <configmap_name> not (verb: get or verb: watch or verb: list) 

requestURI: deployments and (verb: update or verb: patch) and replicas and deployments and <deployment_name> not deployment-controller