kubernetes - 我可以为每个用户/公司拥有一个 K8s pod吗？

Question

有没有一种方法可以让每个用户/每个公司拥有一个 K8s pod？我意识到，每个用户/每个公司分组正在将业务级别语义与基础设施混为一谈，但我说我出于监管原因等需要将事情分开。那么有没有一种方法可以在用户第一次登录时动态创建一个 pod 并保存这个 pod 引用并将任何进一步的请求路由到相关的 pod，该 pod 将托管一组容器，每个容器都运行一个实例模块。

这甚至可能吗？

如果可能，那些标识符是什么？
可以动态注入(inject)到 pod 中，我可以用它来识别这是
USER-A-POD 与 USER_B_POD 还是 FIRM_A_POD 与 FIRM_B_POD ？
实际上，我需要一个 pod 模板来帮助我创建具有 1 个副本的相同 pod，但它们的唯一不同之处在于它们仅提供与一个用户/一个公司相关的流量。

Answer 1

通常，如果您想将流量发送到特定 pod，请从 Kubernetes Service你会使用 Labels and Selectors .例如，使用选择器 app: usera-app在服务中:

apiVersion: v1
kind: Service
metadata:
  name: usera-service
spec:
  selector:
    app: usera-app
  ports:
    - protocol: TCP
      port: 80
      targetPort: 80

然后说如果 Deployment对于您的 pod，使用标签 app: usera-app :

apiVersion: apps/v1
kind: Deployment
metadata:
  name: usera-deployment
spec:
  selector:
    matchLabels:
      app: usera-app
  replicas: 2
  template:
    metadata:
      labels:
        app: usera-app
    spec:
      containers:
      - name: myservice
        image: nginx
        ports:
        - containerPort: 80

更多信息 here

如何分配 pod 和部署取决于您以及您可能使用的任何配置。如果您想强制在部署/pod 中创建一些标签，您可以查看 MutatingAdminssionWebhooks .

如果您正在寻找促进这一切的项目，您可以查看:

Gatekeeper这是 Open Policy Agent 的实现用于 Kubernetes 入场。 (撰写本文时仍处于 alpha 阶段)

其他可以帮助您进行认证和准入机制的工具(必须针对标签进行调整):

Kritis

Portieris