阻止从 Google Container Engine 中的容器访问 Kubernetes API答案

【问题标题】：Blocking access to the Kubernetes API from containers in Google Container Engine阻止从 Google Container Engine 中的容器访问 Kubernetes API
【发布时间】：2016-10-10 11:01:06
【问题描述】：

据我所知，目前尚无法从部署在 Google 管理的 Kubernetes 集群上的容器控制 Kubernetes API 访问。所有容器都获得一个作为秘密和环境变量挂载的令牌，其中包含有关端点的信息。

我正在探索允许用户上传部署到集群容器中的代码的可能性，并且我想阻止对 API 的访问。请参阅：https://stackoverflow.com/a/30739416/270628。

要为集群启用 ABAC 或任何其他类型的控制，我必须通过 GCP 部署我自己的 Kubertenes 集群。我想避免这样做。

那么，是否有可能在创建 pod 时阻止这些秘密的安装或删除这些秘密？如果有，有推荐的方法吗？

谢谢，

【问题讨论】：

标签： kubernetes google-kubernetes-engine

【解决方案1】：

您说得对，如果不添加服务帐户就无法创建 pod（请参阅https://github.com/kubernetes/kubernetes/issues/16779）。如果您可以控制创建 Pod 的 yaml 文件，则可以按照 this advice 在服务帐户顶部挂载 emptyDir 卷，以防止 Pod 访问凭据。

【讨论】：