Выбор ответа Senior Облако и контейнеры обновлено
Метаданные облака из контейнера
Вопрос
Почему важно ограничить доступ подов к сервису метаданных облака (169.254.169.254)?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Иначе любой под на узле получит учётные данные роли узла с лишними правами. Под по сети видит тот же адрес метаданных, что и узел.
Варианты ответа
- Иначе любой под на узле получит учётные данные роли узла с лишними правамиправильный ответ
- Запросы к метаданным замедляют сеть подов и создают лишнюю нагрузку на CNI
- Через метаданные можно подменить образ контейнера, который запустит kubelet
- Ограничивать не нужно: адрес метаданных доступен только из сети хоста
Разбор
Под по сети видит тот же адрес метаданных, что и узел. Защита: IMDSv2 с hop limit 1, сетевые политики, блокирующие этот адрес, и отдельные роли для сервисов через механизмы облака (IRSA, Workload Identity) вместо роли узла.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.