Uso de contenedores HostProcess de Windows
Los contenedores HostProcess/con privilegios amplían el modelo de contenedor de Windows para habilitar una gama más amplia de escenarios de administración de clústeres de Kubernetes. Los contenedores HostProcess se ejecutan directamente en el host y mantienen un comportamiento y el acceso similares a los de un proceso normal. Los contenedores HostProcess permiten a los usuarios empaquetar y distribuir las operaciones y funcionalidades de administración que requieren acceso al host, al mismo tiempo que conservan los métodos de control de versiones e implementación proporcionados por los contenedores.
Un DaemonSet con privilegios puede realizar cambios o supervisar un host Linux en Kubernetes, pero no hosts Windows. Los contenedores HostProcess son el equivalente en Windows de la elevación de host.
- Los contenedores HostProcess requieren Kubernetes 1.23, o cualquier versión superior.
- Los contenedores HostProcess requieren
containerd
1.6 o cualquier runtime de contenedor superior. - Los pods hostProcess solo pueden incluir contenedores hostProcess debido a una limitación en el sistema operativo Windows. Los contenedores Windows sin privilegios no pueden compartir una vNIC con el espacio de nombres IP del host.
- Los contenedores HostProcess se ejecutan como un proceso en el host. El único aislamiento del host que tienen esos contenedores son las restricciones de recursos impuestas en la cuenta de usuario de HostProcess.
- Ni el aislamiento del sistema de archivos ni el de Hyper-V no son compatibles con contenedores HostProcess.
- Se admiten montajes de volumen y se montan en el volumen del contenedor. Consulte Montajes de volumen.
- De forma predeterminada, hay disponible un conjunto limitado de cuentas de usuario de host para contenedores de proceso de host. Consulte Elección de una cuenta de usuario.
- Los límites de recursos, como el disco, la memoria y el número de CPU, funcionan de la misma manera que los procesos del host.
- Los montajes de canalizaciones con nombre y los sockets de dominio Unix no se admiten directamente, pero se puede acceder a ellos en su ruta de acceso de host, como, por ejemplo
\\.\pipe\*
.
Para usar las características de HostProcess con la implementación, establezca hostProcess: true y hostNetwork: true:
spec:
...
securityContext:
windowsOptions:
hostProcess: true
...
hostNetwork: true
containers:
...
Para ejecutar una carga de trabajo de ejemplo que usa las características de HostProcess en un clúster de AKS existente con nodos de Windows, cree hostprocess.yaml
con el siguiente contenido:
apiVersion: apps/v1
kind: DaemonSet
metadata:
name: privileged-daemonset
namespace: kube-system
labels:
app: privileged-daemonset
spec:
selector:
matchLabels:
app: privileged-daemonset
template:
metadata:
labels:
app: privileged-daemonset
spec:
nodeSelector:
kubernetes.io/os: windows
securityContext:
windowsOptions:
hostProcess: true
runAsUserName: "NT AUTHORITY\\SYSTEM"
hostNetwork: true
containers:
- name: powershell
image: mcr.microsoft.com/powershell:lts-nanoserver-1809 # or lts-nanoserver-ltsc2022
command:
- powershell.exe
- -Command
- Start-Sleep -Seconds 2147483
terminationGracePeriodSeconds: 0
Use kubectl
para ejecutar la carga de trabajo de ejemplo:
kubectl apply -f hostprocess.yaml
Debería ver la siguiente salida:
$ kubectl apply -f hostprocess.yaml
daemonset.apps/privileged-daemonset created
Compruebe que la carga de trabajo usa las características de los contenedores hostProcess mediante la visualización de los registros del pod.
Use kubectl
para buscar el nombre del pod en el espacio de nombres kube-system
.
$ kubectl get pods --namespace kube-system
NAME READY STATUS RESTARTS AGE
...
privileged-daemonset-12345 1/1 Running 0 2m13s
Use kubectl log
para ver los registros del pod y comprobar que el pod tiene derechos de administrador:
$ kubectl logs privileged-daemonset-12345 --namespace kube-system
InvalidOperation: Unable to find type [Security.Principal.WindowsPrincipal].
Process has admin rights:
Para más información sobre los contenedores HostProcess y la contribución de Microsoft a Kubernetes ascendente, consulte Alpha in v1.22: Windows HostProcess Containers.
Comentarios de Azure Kubernetes Service
Azure Kubernetes Service es un proyecto de código abierto. Seleccione un vínculo para proporcionar comentarios: