change Node expression
This commit is contained in:
@@ -1123,11 +1123,11 @@ Secret APIへのアクセスが必要なアプリケーションは、必要なS
|
|||||||
Secretはそれを使用するPodとは独立に作成されるので、Podを作ったり、参照したり、編集したりするワークフローにおいてSecretが晒されるリスクは軽減されています。
|
Secretはそれを使用するPodとは独立に作成されるので、Podを作ったり、参照したり、編集したりするワークフローにおいてSecretが晒されるリスクは軽減されています。
|
||||||
システムは、可能であればSecretの内容をディスクに書き込まないような、Secretについて追加の考慮も行っています。
|
システムは、可能であればSecretの内容をディスクに書き込まないような、Secretについて追加の考慮も行っています。
|
||||||
|
|
||||||
SecretはNode上のPodが必要とした場合のみ送られます。
|
Secretはノード上のPodが必要とした場合のみ送られます。
|
||||||
kubeletはSecretがディスクストレージに書き込まれないよう、`tmpfs`に保存します。
|
kubeletはSecretがディスクストレージに書き込まれないよう、`tmpfs`に保存します。
|
||||||
Secretを必要とするPodが削除されると、kubeletはSecretのローカルコピーも同様に削除します。
|
Secretを必要とするPodが削除されると、kubeletはSecretのローカルコピーも同様に削除します。
|
||||||
|
|
||||||
同一のNodeにいくつかのPodに対する複数のSecretが存在することもあります。
|
同一のノードにいくつかのPodに対する複数のSecretが存在することもあります。
|
||||||
しかし、コンテナから参照できるのはPodが要求したSecretのみです。
|
しかし、コンテナから参照できるのはPodが要求したSecretのみです。
|
||||||
そのため、あるPodが他のPodのためのSecretにアクセスすることはできません。
|
そのため、あるPodが他のPodのためのSecretにアクセスすることはできません。
|
||||||
|
|
||||||
@@ -1154,4 +1154,4 @@ Podに複数のコンテナが含まれることもあります。しかし、Po
|
|||||||
- アプリケーションはボリュームからSecretの値を読み取った後も、その値を保護する必要があります。例えば意図せずログに出力する、信用できない相手に送信するようなことがないようにです。
|
- アプリケーションはボリュームからSecretの値を読み取った後も、その値を保護する必要があります。例えば意図せずログに出力する、信用できない相手に送信するようなことがないようにです。
|
||||||
- Secretを利用するPodを作成できるユーザーはSecretの値を見ることができます。たとえAPIサーバーのポリシーがユーザーにSecretの読み取りを許可していなくても、ユーザーはSecretを晒すPodを実行することができます。
|
- Secretを利用するPodを作成できるユーザーはSecretの値を見ることができます。たとえAPIサーバーのポリシーがユーザーにSecretの読み取りを許可していなくても、ユーザーはSecretを晒すPodを実行することができます。
|
||||||
- 現在、任意のノードでルート権限を持つ人は誰でも、kubeletに偽装することで _任意の_ SecretをAPIサーバーから読み取ることができます。
|
- 現在、任意のノードでルート権限を持つ人は誰でも、kubeletに偽装することで _任意の_ SecretをAPIサーバーから読み取ることができます。
|
||||||
単一のノードのルート権限を不正に取得された場合の影響を抑えるため、実際に必要としているNodeに対してのみSecretを送る機能が計画されています。
|
単一のノードのルート権限を不正に取得された場合の影響を抑えるため、実際に必要としているノードに対してのみSecretを送る機能が計画されています。
|
||||||
|
|||||||
Reference in New Issue
Block a user