特権ポッドの起動を特定の名前空間でのみ許可する方法はありますか？

Question

特定の名前空間またはユーザーのみが特権ポッドを起動できるようにする方法はありますか？特権モードが有効なコンテナで特定のサービスを起動する必要がありますが、この機能をすべてのユーザーに付与する必要はありません。

kubeletと--allow-privileged=trueを実行すると、誰でも特権付きコンテナを実行できるように見えます。

Answer 1

今、私はこれが可能だとは思わない。私はPodSecurityPolicyが最終的にこれを達成する方法かもしれないと思っていますが、今は名前空間のないオブジェクトです。作業のいくつかはまだ進行中で、Kubernetes Issue #23217で追跡できます。