kubernetes - 如何在Kubernetes list 文件中将卷作为Nosuid挂载

Question

我正在使用docker服务和kubernetes进行容器编排。

我想使用nosuid选项从主机挂载所有卷。

在没有suid的情况下，Emptydir卷也可以存在。唯一的问题是kubernetes是否支持指定此类安装选项，或者是否可以其他方式处理它们。

 findmnt
  TARGET                  SOURCE      FSTYPE          OPTIONS
  /                       /dev/vda1   ext4            rw,noatime,seclabel,data=ordered
  ├─/sys                  sysfs       sysfs          rw,relatime,seclabel
  │ ├─/sys/kernel/security  securityfs  securityfs     rw,nosuid,nodev,noexec,relatime
  │ ├─/sys/fs/cgroup        tmpfs       tmpfs          ro,nosuid,nodev,noexec,seclabel,mode=755
  │ │ ├─/sys/fs/cgroup/systemd  cgroup      cgroup         rw,nosuid,nodev,noexec,relatime,xattr,release_agent=/usr/lib/sy
  ...
  ├─/var/lib/kubelet/pods/05f79fe8-3fab-11e7-8c7b-d00d8969ec73/volumes/kubernetes.io~secret/default-token-lnpbh       tmpfs       tmpfs          rw,relatime,seclabel
  ├─/var/lib/kubelet/pods/0911e563-3fab-11e7-8c7b-d00d8969ec73/volumes/kubernetes.io~secret/default-token-lnpbh       tmpfs       tmpfs          rw,relatime,seclabel
  ├─/var/lib/kubelet/pods/b550adbd-3fbf-11e7-8c7b-d00d8969ec73/volumes/kubernetes.io~empty-dir/data                   tmpfs       tmpfs          rw,relatime,seclabel

kubernetes的相关问题: https://github.com/kubernetes/kubernetes/issues/48912

Answer 1

正如您所提到的，EmptyDir卷可以在没有suid正确的情况下生存，但是到目前为止，在Kubernetes Volume list 中还没有办法提及nosuid这种安装选项。