[CKS] K8S AppArmor Set Up

devtools/2024/11/14 2:49:42/

最近准备花一周的时间准备CKS考试,在准备考试中发现有一个题目关于AppArmor Pod操作权限的问题。

​ 专栏其他文章:

  • [CKS] Create/Read/Mount a Secret in K8S-CSDN博客
  • [CKS] Audit Log Policy-CSDN博客
    -[CKS] 利用falco进行容器日志捕捉和安全监控-CSDN博客
  • [CKS] K8S NetworkPolicy Set Up-CSDN博客
  • [CKS] K8S AppArmor Set Up-CSDN博客
  • [CKS] 利用Trivy对image进行扫描-CSDN博客
  • [CKS] kube-batch修复不安全项-CSDN博客
  • [CKS] K8S ServiceAccount Set Up-CSDN博客
  • [CKS] K8S Admission Set Up-CSDN博客
  • [CKS] K8S Dockerfile和yaml文件安全检测-CSDN博客
  • CKS真题
  • CKA真题

What‘s the AppArmor

AppArmor是一种Linux安全模块,用于限制和控制进程的访问权限。它基于访问控制列表(ACLs)、文件系统路径和文件的安全上下文等信息,允许系统管理员定义每个进程可以访问的资源和执行的操作。AppArmor的目标是增加系统的安全性,并减少被攻击者利用的风险。它可以防止恶意代码的行为,限制不必要的系统调用,以及保护系统和关键数据免受未经授权的访问。

Question 1

On the worker node, there is an AppArmor profile file located at /home/cloud_user/k8s-deny-write.

Enforce the profile so that it can be applied to containers.
意思是将/home/cloud_user/k8s-deny-write这个apparmor配置文件配置在k8s中

Practice

https://kubernetes.io/docs/tutorials/security/apparmor/ 在这个document中有一个详细的怎么使用apparmor,通过这个教程我们知道如何应用这个配置

sudo apparmor_parser k8s-deny-write

Question 2

On the CLI server, there is a Pod manifest at /home/cloud_user/chewbacca.yml.

  • Edit the manifest so that the AppArmor profile will be applied to the Pod’s container.
  • Create the Pod.
    意思是编辑配置文件,使他能够完成/home/cloud_user/chewbacca.yml这个pod的创建

Practice

在Question 1中提供的文档中:https://kubernetes.io/docs/tutorials/security/apparmor/ ,我们知道如何在pod中加在这个配置,我们修改/home/cloud_user/chewbacca.yml文件如下:
在这里插入图片描述

验证

使用kubectl logs chewbacca -n kashyyyk查看日志出现如下则表示成功

sh: can't create password.txt: Permission denied

http://www.ppmy.cn/devtools/133812.html

相关文章

8个常见的导致软件需要重新设计的原因及其解决方法

《设计模式:可复用面向对象软件的基础》(《Design Patterns: Elements of Reusable Object-Oriented Software》),也称为GoF(Gang of Four)设计模式经典书籍,列举了8个常见的导致软件需要重新设…

# ubuntu系统安装搜狗输入法sogoupinyin

ubuntu系统安装搜狗输入法sogoupinyin 1、安装Fcitx框架及配置环境 fcitx 被称为 小企鹅输入法,是一个以 GPL 方式发布的 输入法平台,可以通过安装引擎支持多种输入法。它的优点是,短小精悍、跟程序的兼容性比较好! sudo apt-g…

ubuntu20.04 ROS 临时修改功能包名并作一系列对应修改 (ubuntu20.04)

ROS 临时修改功能包名并作一系列对应修改 (ubuntu20.04) 在ROS中临时修改一个功能包的包名确实需要更新多个文件和配置,确保整个系统的一致性不受影响。以下是具体步骤和C相关的示例: 1. 修改 package.xml 文件 这个文件描述了…

LLaMA-Factory学习笔记(1)——采用LORA对大模型进行SFT并采用vLLM部署的全流程

该博客是我根据自己学习过程中的思考与总结来写作的,由于初次学习,可能会有错误或者不足的地方,望批评与指正。 1. 安装 1.1 LLaMA-Factory安装 安装可以参考官方 readme (https://github.com/hiyouga/LLaMA-Factory/blob/main/…

19.(开发工具篇mysql库)mysql锁表问题解决

1:查看锁表情况 show OPEN TABLES where In_use > 0; 2:查看所有进程命令 show processlist 3:杀对应进程(通过host,db找对应的ID) kill 57303

开源大模型推理引擎现状及常见推理优化方法总结

原文:https://zhuanlan.zhihu.com/p/755874470 前言 前一段时间sglang-v0.3.0和vllm-v0.6.0前后脚发布之后,就一直想总结梳理一下现在主流的大模型推理引擎。因为我觉得这也算是一个有意义的节点吧,从此开源大模型推理引擎总算是由"非…

React官网生成Recat项目的区别

1. Next.js 特点: 页面级路由:使用文件系统路由,基于 /pages 文件夹的结构自动创建 URL 路径。渲染模式:支持三种渲染模式:静态生成 (SSG)、服务器端渲染 (SSR) 和客户端渲染 (CSR),并允许根据页面的具体需…

Chromium 中chrome.system.storage扩展接口定义c++

一、chrome.system.storage 您可以使用 chrome.system.storage API 查询存储设备信息,并在连接和分离可移动存储设备时收到通知。 权限 system.storage 类型 EjectDeviceResultCode 枚举 "success" 移除命令成功执行 - 应用可以提示用户移除设备。…