Выбор ответа Senior RBAC и Helm обновлено
Pod Security Admission
Вопрос
На namespace поставили метку pod-security.kubernetes.io/enforce: restricted. Что произойдёт с Deployment, у пода которого нет securityContext?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Поды не создадутся: admission отклонит их по профилю restricted. Pod Security Admission проверяет поды при создании и в режиме enforce отклоняет несоответствующие.
Варианты ответа
- Под будет создан, но процесс запустится от
nobodyвместо root - Ничего: метки namespace на уже описанные поды не влияют
- Kubernetes сам добавит недостающий securityContext при создании
- Поды не создадутся: admission отклонит их по профилю
restrictedправильный ответ
Разбор
Pod Security Admission проверяет поды при создании и в режиме enforce отклоняет несоответствующие. Сам Deployment будет принят, но ReplicaSet не сможет создать поды, причина видна в его событиях. PSA ничего не мутирует, это только проверка; для автоматического дополнения нужны мутирующие политики (например Kyverno).
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.