Question: What is 3.12 - Mapping PodSecurityPolicies to Pod Security Standards?

Answer: T h e   t a b l e s   b e l o w   e n u m e r a t e   t h e   c o n f i g u r a t i o n   p a r a m e t e r s   o n   P o d S e c u r i t y P o l i c y   o b j e c t s ,   w h e t h e r   t h e   f i e l d   m u t a t e s   a n d / o r   v a l i d a t e s   p o d s ,   a n d   h o w   t h e   c o n f i g u r a t i o n   v a l u e s   m a p   t o   t h e   P o d   S e c u r i t y   S t a n d a r d s .   F o r   e a c h   a p p l i c a b l e   p a r a m e t e r ,   t h e   a l l o w e d   v a l u e s   f o r   t h e   B a s e l i n e   a n d   R e s t r i c t e d   p r o f i l e s   a r e   l i s t e d .   A n y t h i n g   o u t s i d e   t h e   a l l o w e d   v a l u e s   f o r   t h o s e   p r o f i l e s   w o u l d   f a l l   u n d e r   t h e   P r i v i l e g e d   p r o f i l e .   " N o   o p i n i o n "   m e a n s   a l l   v a l u e s   a r e   a l l o w e d   u n d e r   a l l   P o d   S e c u r i t y   S t a n d a r d s .   F o r   a   s t e p - b y - s t e p   m i g r a t i o n   g u i d e ,   s e e   M i g r a t e   f r o m   P o d S e c u r i t y P o l i c y   t o   t h e   B u i l t - I n   P o d S e c u r i t y   A d m i s s i o n   C o n t r o l l e r .


Question: What is PodSecurityPolicy Spec?

Answer: T h e   f i e l d s   e n u m e r a t e d   i n   t h i s   t a b l e   a r e   p a r t   o f   t h e   P o d S e c u r i t y P o l i c y S p e c ,   w h i c h   i s   s p e c i f i e d   u n d e r   t h e   . s p e c   f i e l d   p a t h .   B a s e l i n e :   s u b s e t   o f   A U D I T _ W R I T E C H O W N D A C _ O V E R R I D E F O W N E R F S E T I D K I L L M K N O D N E T _ B I N D _ S E R V I C E S E T F C A P S E T G I D S E T P C A P S E T U I D S Y S _ C H R O O T   R e s t r i c t e d :   e m p t y   /   u n d e f i n e d   /   n i l   O R   a   l i s t   c o n t a i n i n g   o n l y   N E T _ B I N D _ S E R V I C E   B a s e l i n e :   n o   o p i n i o n   R e s t r i c t e d :   m u s t   i n c l u d e   A L L   B a s e l i n e :   a n y t h i n g   e x c e p t   h o s t P a t h *   R e s t r i c t e d :   s u b s e t   o f   c o n f i g M a p c s i d o w n w a r d A P I e m p t y D i r e p h e m e r a l p e r s i s t e n t V o l u m e C l a i m p r o j e c t e d s e c r e t   B a s e l i n e   &   R e s t r i c t e d :   s e L i n u x . r u l e   i s   M u s t R u n A s ,   w i t h   t h e   f o l l o w i n g   o p t i o n s   u s e r   i s   u n s e t   ( " "   /   u n d e f i n e d   /   n i l ) r o l e   i s   u n s e t   ( " "   /   u n d e f i n e d   /   n i l ) t y p e   i s   u n s e t   o r   o n e   o f :   c o n t a i n e r _ t ,   c o n t a i n e r _ i n i t _ t ,   c o n t a i n e r _ k v m _ t ,   c o n t a i n e r _ e n g i n e _ t l e v e l   i s   a n y t h i n g   B a s e l i n e :   A n y t h i n g   R e s t r i c t e d :   r u l e   i s   M u s t R u n A s N o n R o o t   O n l y   m u t a t i n g   i f   s e t   t o   f a l s e   B a s e l i n e :   N o   o p i n i o n   R e s t r i c t e d :   f a l s e


Question: What is PodSecurityPolicy annotations?

Answer: T h e   a n n o t a t i o n s   e n u m e r a t e d   i n   t h i s   t a b l e   c a n   b e   s p e c i f i e d   u n d e r   . m e t a d a t a . a n n o t a t i o n s   o n   t h e   P o d S e c u r i t y P o l i c y   o b j e c t .   B a s e l i n e :   " r u n t i m e / d e f a u l t , "   ( T r a i l i n g   c o m m a   t o   a l l o w   u n s e t )   R e s t r i c t e d :   " r u n t i m e / d e f a u l t "   ( N o   t r a i l i n g   c o m m a )   l o c a l h o s t / *   v a l u e s   a r e   a l s o   p e r m i t t e d   f o r   b o t h   B a s e l i n e   &   R e s t r i c t e d .   B a s e l i n e :   " r u n t i m e / d e f a u l t , "   ( T r a i l i n g   c o m m a   t o   a l l o w   u n s e t )   R e s t r i c t e d :   " r u n t i m e / d e f a u l t "   ( N o   t r a i l i n g   c o m m a )   l o c a l h o s t / *   v a l u e s   a r e   a l s o   p e r m i t t e d   f o r   b o t h   B a s e l i n e   &   R e s t r i c t e d .


Question: What is Overview?

Answer: A   k u b e l e t ' s   H T T P S   e n d p o i n t   e x p o s e s   A P I s   w h i c h   g i v e   a c c e s s   t o   d a t a   o f   v a r y i n g   s e n s i t i v i t y ,   a n d   a l l o w   y o u   t o   p e r f o r m   o p e r a t i o n s   w i t h   v a r y i n g   l e v e l s   o f   p o w e r   o n   t h e   n o d e   a n d   w i t h i n   c o n t a i n e r s .   T h i s   d o c u m e n t   d e s c r i b e s   h o w   t o   a u t h e n t i c a t e   a n d   a u t h o r i z e   a c c e s s   t o   t h e   k u b e l e t ' s   H T T P S   e n d p o i n t .


Question: What is Kubelet authentication?

Answer: B y   d e f a u l t ,   r e q u e s t s   t o   t h e   k u b e l e t ' s   H T T P S   e n d p o i n t   t h a t   a r e   n o t   r e j e c t e d   b y   o t h e r   c o n f i g u r e d   a u t h e n t i c a t i o n   m e t h o d s   a r e   t r e a t e d   a s   a n o n y m o u s   r e q u e s t s ,   a n d   g i v e n   a   u s e r n a m e   o f   s y s t e m : a n o n y m o u s   a n d   a   g r o u p   o f   s y s t e m : u n a u t h e n t i c a t e d .   T o   d i s a b l e   a n o n y m o u s   a c c e s s   a n d   s e n d   4 0 1   U n a u t h o r i z e d   r e s p o n s e s   t o   u n a u t h e n t i c a t e d   r e q u e s t s :   s t a r t   t h e   k u b e l e t   w i t h   t h e   - - a n o n y m o u s - a u t h = f a l s e   f l a g   T o   e n a b l e   X 5 0 9   c l i e n t   c e r t i f i c a t e   a u t h e n t i c a t i o n   t o   t h e   k u b e l e t ' s   H T T P S   e n d p o i n t :   s t a r t   t h e   k u b e l e t   w i t h   t h e   - - c l i e n t - c a - f i l e   f l a g ,   p r o v i d i n g   a   C A   b u n d l e   t o   v e r i f y   c l i e n t   c e r t i f i c a t e s   w i t h s t a r t   t h e   a p i s e r v e r   w i t h   - - k u b e l e t - c l i e n t - c e r t i f i c a t e   a n d   - - k u b e l e t - c l i e n t - k e y   f l a g s s e e   t h e   a p i s e r v e r   a u t h e n t i c a t i o n   d o c u m e n t a t i o n   f o r   m o r e   d e t a i l s   T o   e n a b l e   A P I   b e a r e r   t o k e n s   ( i n c l u d i n g   s e r v i c e   a c c o u n t   t o k e n s )   t o   b e   u s e d   t o   a u t h e n t i c a t e   t o   t h e   k u b e l e t ' s   H T T P S   e n d p o i n t :   e n s u r e   t h e   a u t h e n t i c a t i o n . k 8 s . i o / v 1 b e t a 1   A P I   g r o u p   i s   e n a b l e d   i n   t h e   A P I   s e r v e r s t a r t   t h e   k u b e l e t   w i t h   t h e   - - a u t h e n t i c a t i o n - t o k e n - w e b h o o k   a n d   - - k u b e c o n f i g   f l a g s t


Question: What is Kubelet authorization?

Answer: A n y   r e q u e s t   t h a t   i s   s u c c e s s f u l l y   a u t h e n t i c a t e d   ( i n c l u d i n g   a n   a n o n y m o u s   r e q u e s t )   i s   t h e n   a u t h o r i z e d .   T h e   d e f a u l t   a u t h o r i z a t i o n   m o d e   i s   A l w a y s A l l o w ,   w h i c h   a l l o w s   a l l   r e q u e s t s .   T h e r e   a r e   m a n y   p o s s i b l e   r e a s o n s   t o   s u b d i v i d e   a c c e s s   t o   t h e   k u b e l e t   A P I :   a n o n y m o u s   a u t h   i s   e n a b l e d ,   b u t   a n o n y m o u s   u s e r s '   a b i l i t y   t o   c a l l   t h e   k u b e l e t   A P I   s h o u l d   b e   l i m i t e d b e a r e r   t o k e n   a u t h   i s   e n a b l e d ,   b u t   a r b i t r a r y   A P I   u s e r s '   ( l i k e   s e r v i c e   a c c o u n t s )   a b i l i t y   t o   c a l l   t h e   k u b e l e t   A P I   s h o u l d   b e   l i m i t e d c l i e n t   c e r t i f i c a t e   a u t h   i s   e n a b l e d ,   b u t   o n l y   s o m e   o f   t h e   c l i e n t   c e r t i f i c a t e s   s i g n e d   b y   t h e   c o n f i g u r e d   C A   s h o u l d   b e   a l l o w e d   t o   u s e   t h e   k u b e l e t   A P I   T o   s u b d i v i d e   a c c e s s   t o   t h e   k u b e l e t   A P I ,   d e l e g a t e   a u t h o r i z a t i o n   t o   t h e   A P I   s e r v e r :   e n s u r e   t h e   a u t h o r i z a t i o n . k 8 s . i o / v 1 b e t a 1   A P I   g r o u p   i s   e n a b l e d   i n   t h e   A P I   s e r v e r s t a r t   t h e   k u b e l e t   w i t h   t h e   - - a u t h o r i z a t i o n - m o d e = W e b h o o k   a n d   t h e   - - k u b e c o n f i g   f l a g s t h e   k u b e l e t   c a l l s   t h e   S u b j e c t A c c e s s R e v i e w   A P I   o n   t h e   c o n f i g u r e d   A P I   s e r v e r   t o   d e t e r m i n e   w h e t h e r   e a c h   r e q u e s t   i s   a u t h o r i z e d   T h e   k u b e l e t   a u t h o r


Question: What is Fine-grained authorization?

Answer: W h e n   t h e   f e a t u r e   g a t e   K u b e l e t F i n e G r a i n e d A u t h z   i s   e n a b l e d   k u b e l e t   p e r f o r m s   a   f i n e - g r a i n e d   c h e c k   b e f o r e   f a l l i n g   b a c k   t o   t h e   p r o x y   s u b r e s o u r c e   f o r   t h e   / p o d s ,   / r u n n i n g P o d s ,   / c o n f i g z   a n d   / h e a l t h z   e n d p o i n t s .   T h e   r e s o u r c e   a n d   s u b r e s o u r c e   a r e   d e t e r m i n e d   f r o m   t h e   i n c o m i n g   r e q u e s t ' s   p a t h :   W h e n   t h e   f e a t u r e - g a t e   K u b e l e t F i n e G r a i n e d A u t h z   i s   e n a b l e d ,   e n s u r e   t h e   u s e r   i d e n t i f i e d   b y   t h e   - - k u b e l e t - c l i e n t - c e r t i f i c a t e   a n d   - - k u b e l e t - c l i e n t - k e y   f l a g s   p a s s e d   t o   t h e   A P I   s e r v e r   i s   a u t h o r i z e d   f o r   t h e   f o l l o w i n g   a t t r i b u t e s :   v e r b = * ,   r e s o u r c e = n o d e s ,   s u b r e s o u r c e = p r o x y v e r b = * ,   r e s o u r c e = n o d e s ,   s u b r e s o u r c e = s t a t s v e r b = * ,   r e s o u r c e = n o d e s ,   s u b r e s o u r c e = l o g v e r b = * ,   r e s o u r c e = n o d e s ,   s u b r e s o u r c e = m e t r i c s v e r b = * ,   r e s o u r c e = n o d e s ,   s u b r e s o u r c e = c o n f i g z v e r b = * ,   r e s o u r c e = n o d e s ,   s u b r e s o u r c e = h e a l t h z v e r b = * ,   r e s o u r c e = n o d e s ,   s u b r e s o u r c e = p o d s   I f   R B A C   a u t h o r i z a t i o n   i s   u s e d ,   e n a b l i n g   t h i s   g a t e   a l s o   e n s u r e   t h a t   t h e   b u i l t i n   s y s t e m : k u b e l e t - a p i - a d m i n   C l u s t e r R o l e   i s   u p d a t e d   w i t h   p e r m i s s i o n s   t o   a c c e s s   a l l   t h e   a b o v e   m e n t i o n e d   s u b r e s o u r c e s .


Question: What is 3.14 - TLS bootstrapping?

Answer: I n   a   K u b e r n e t e s   c l u s t e r ,   t h e   c o m p o n e n t s   o n   t h e   w o r k e r   n o d e s   -   k u b e l e t   a n d   k u b e - p r o x y   -   n e e d   t o   c o m m u n i c a t e   w i t h   K u b e r n e t e s   c o n t r o l   p l a n e   c o m p o n e n t s ,   s p e c i f i c a l l y   k u b e - a p i s e r v e r .   I n   o r d e r   t o   e n s u r e   t h a t   c o m m u n i c a t i o n   i s   k e p t   p r i v a t e ,   n o t   i n t e r f e r e d   w i t h ,   a n d   e n s u r e   t h a t   e a c h   c o m p o n e n t   o f   t h e   c l u s t e r   i s   t a l k i n g   t o   a n o t h e r   t r u s t e d   c o m p o n e n t ,   w e   s t r o n g l y   r e c o m m e n d   u s i n g   c l i e n t   T L S   c e r t i f i c a t e s   o n   n o d e s .   T h e   n o r m a l   p r o c e s s   o f   b o o t s t r a p p i n g   t h e s e   c o m p o n e n t s ,   e s p e c i a l l y   w o r k e r   n o d e s   t h a t   n e e d   c e r t i f i c a t e s   s o   t h e y   c a n   c o m m u n i c a t e   s a f e l y   w i t h   k u b e - a p i s e r v e r ,   c a n   b e   a   c h a l l e n g i n g   p r o c e s s   a s   i t   i s   o f t e n   o u t s i d e   o f   t h e   s c o p e   o f   K u b e r n e t e s   a n d   r e q u i r e s   s i g n i f i c a n t   a d d i t i o n a l   w o r k .   T h i s   i n   t u r n ,   c a n   m a k e   i t   c h a l l e n g i n g   t o   i n i t i a l i z e   o r   s c a l e   a   c l u s t e r .   I n   o r d e r   t o   s i m p l i f y   t h e   p r o c e s s ,   b e g i n n i n g   i n   v e r s i o n   1 . 4 ,   K u b e r n e t e s   i n t r o d u c e d   a   c e r t i f i c a t e   r e q u e s t   a n d   s i g n i n g   A P I .   T h e   p r o p o s a l   c a n   b e   f o u n d   h e r e .   T h i s   d o c u m e n t   d e s c r i b e s   t h e   p r o c e s s   o f   n o d e   i n i t i a l i z a t i o n ,   h o w   t o   s e t   u p   T L S   c l i e n t   c e r t i f i c a t e   b


Question: What is Initialization process?

Answer: W h e n   a   w o r k e r   n o d e   s t a r t s   u p ,   t h e   k u b e l e t   d o e s   t h e   f o l l o w i n g :   L o o k   f o r   i t s   k u b e c o n f i g   f i l e R e t r i e v e   t h e   U R L   o f   t h e   A P I   s e r v e r   a n d   c r e d e n t i a l s ,   n o r m a l l y   a   T L S   k e y   a n d   s i g n e d   c e r t i f i c a t e   f r o m   t h e   k u b e c o n f i g   f i l e A t t e m p t   t o   c o m m u n i c a t e   w i t h   t h e   A P I   s e r v e r   u s i n g   t h e   c r e d e n t i a l s .   A s s u m i n g   t h a t   t h e   k u b e - a p i s e r v e r   s u c c e s s f u l l y   v a l i d a t e s   t h e   k u b e l e t ' s   c r e d e n t i a l s ,   i t   w i l l   t r e a t   t h e   k u b e l e t   a s   a   v a l i d   n o d e ,   a n d   b e g i n   t o   a s s i g n   p o d s   t o   i t .   N o t e   t h a t   t h e   a b o v e   p r o c e s s   d e p e n d s   u p o n :   E x i s t e n c e   o f   a   k e y   a n d   c e r t i f i c a t e   o n   t h e   l o c a l   h o s t   i n   t h e   k u b e c o n f i g T h e   c e r t i f i c a t e   h a v i n g   b e e n   s i g n e d   b y   a   C e r t i f i c a t e   A u t h o r i t y   ( C A )   t r u s t e d   b y   t h e   k u b e - a p i s e r v e r   A l l   o f   t h e   f o l l o w i n g   a r e   r e s p o n s i b i l i t i e s   o f   w h o e v e r   s e t s   u p   a n d   m a n a g e s   t h e   c l u s t e r :   C r e a t i n g   t h e   C A   k e y   a n d   c e r t i f i c a t e D i s t r i b u t i n g   t h e   C A   c e r t i f i c a t e   t o   t h e   c o n t r o l   p l a n e   n o d e s ,   w h e r e   k u b e - a p i s e r v e r   i s   r u n n i n g C r e a t i n g   a   k e y   a n d   c e r t i f i c a t e   f o r   e a c h   k u b e l e t ;   s t r o n g l y   r e c o m m e n d e d   t o   h a v e   a   u n i q u e   o n e ,   w i t h   a   u n i q u e   C N ,   f o r   e a c h   k u b e l e t S i g n i n g   t h e   k u b e l e t   c


Question: What is Bootstrap initialization?

Answer: I n   t h e   b o o t s t r a p   i n i t i a l i z a t i o n   p r o c e s s ,   t h e   f o l l o w i n g   o c c u r s :   k u b e l e t   b e g i n s k u b e l e t   s e e s   t h a t   i t   d o e s   n o t   h a v e   a   k u b e c o n f i g   f i l e k u b e l e t   s e a r c h e s   f o r   a n d   f i n d s   a   b o o t s t r a p - k u b e c o n f i g   f i l e k u b e l e t   r e a d s   i t s   b o o t s t r a p   f i l e ,   r e t r i e v i n g   t h e   U R L   o f   t h e   A P I   s e r v e r   a n d   a   l i m i t e d   u s a g e   " t o k e n " k u b e l e t   c o n n e c t s   t o   t h e   A P I   s e r v e r ,   a u t h e n t i c a t e s   u s i n g   t h e   t o k e n k u b e l e t   n o w   h a s   l i m i t e d   c r e d e n t i a l s   t o   c r e a t e   a n d   r e t r i e v e   a   c e r t i f i c a t e   s i g n i n g   r e q u e s t   ( C S R ) k u b e l e t   c r e a t e s   a   C S R   f o r   i t s e l f   w i t h   t h e   s i g n e r N a m e   s e t   t o   k u b e r n e t e s . i o / k u b e - a p i s e r v e r - c l i e n t - k u b e l e t C S R   i s   a p p r o v e d   i n   o n e   o f   t w o   w a y s : I f   c o n f i g u r e d ,   k u b e - c o n t r o l l e r - m a n a g e r   a u t o m a t i c a l l y   a p p r o v e s   t h e   C S R I f   c o n f i g u r e d ,   a n   o u t s i d e   p r o c e s s ,   p o s s i b l y   a   p e r s o n ,   a p p r o v e s   t h e   C S R   u s i n g   t h e   K u b e r n e t e s   A P I   o r   v i a   k u b e c t l C e r t i f i c a t e   i s   c r e a t e d   f o r   t h e   k u b e l e t C e r t i f i c a t e   i s   i s s u e d   t o   t h e   k u b e l e t k u b e l e t   r e t r i e v e s   t h e   c e r t i f i c a t e k u b e l e t   c r e a t e s   a   p r o p e r   k u b e c o n f i g   w i t h   t h e   k e y   a n d   s i g n e d   c e r t i f i c a t e k u b e l e t   b e g i n s   n o r m a l   o p e r a t i o n O p t i o n a l :   i f   c o n f i g u r e d ,   k u b e l


Question: What is Configuration?

Answer: T o   c o n f i g u r e   f o r   T L S   b o o t s t r a p p i n g   a n d   o p t i o n a l   a u t o m a t i c   a p p r o v a l ,   y o u   m u s t   c o n f i g u r e   o p t i o n s   o n   t h e   f o l l o w i n g   c o m p o n e n t s :   k u b e - a p i s e r v e r k u b e - c o n t r o l l e r - m a n a g e r k u b e l e t i n - c l u s t e r   r e s o u r c e s :   C l u s t e r R o l e B i n d i n g   a n d   p o t e n t i a l l y   C l u s t e r R o l e   I n   a d d i t i o n ,   y o u   n e e d   y o u r   K u b e r n e t e s   C e r t i f i c a t e   A u t h o r i t y   ( C A ) .


Question: What is Certificate Authority?

Answer: A s   w i t h o u t   b o o t s t r a p p i n g ,   y o u   w i l l   n e e d   a   C e r t i f i c a t e   A u t h o r i t y   ( C A )   k e y   a n d   c e r t i f i c a t e .   A s   w i t h o u t   b o o t s t r a p p i n g ,   t h e s e   w i l l   b e   u s e d   t o   s i g n   t h e   k u b e l e t   c e r t i f i c a t e .   A s   b e f o r e ,   i t   i s   y o u r   r e s p o n s i b i l i t y   t o   d i s t r i b u t e   t h e m   t o   c o n t r o l   p l a n e   n o d e s .   F o r   t h e   p u r p o s e s   o f   t h i s   d o c u m e n t ,   w e   w i l l   a s s u m e   t h e s e   h a v e   b e e n   d i s t r i b u t e d   t o   c o n t r o l   p l a n e   n o d e s   a t   / v a r / l i b / k u b e r n e t e s / c a . p e m   ( c e r t i f i c a t e )   a n d   / v a r / l i b / k u b e r n e t e s / c a - k e y . p e m   ( k e y ) .   W e   w i l l   r e f e r   t o   t h e s e   a s   " K u b e r n e t e s   C A   c e r t i f i c a t e   a n d   k e y " .   A l l   K u b e r n e t e s   c o m p o n e n t s   t h a t   u s e   t h e s e   c e r t i f i c a t e s   -   k u b e l e t ,   k u b e - a p i s e r v e r ,   k u b e - c o n t r o l l e r - m a n a g e r   -   a s s u m e   t h e   k e y   a n d   c e r t i f i c a t e   t o   b e   P E M - e n c o d e d .


Question: What is kube-apiserver configuration?

Answer: T h e   k u b e - a p i s e r v e r   h a s   s e v e r a l   r e q u i r e m e n t s   t o   e n a b l e   T L S   b o o t s t r a p p i n g :   R e c o g n i z i n g   C A   t h a t   s i g n s   t h e   c l i e n t   c e r t i f i c a t e A u t h e n t i c a t i n g   t h e   b o o t s t r a p p i n g   k u b e l e t   t o   t h e   s y s t e m : b o o t s t r a p p e r s   g r o u p A u t h o r i z e   t h e   b o o t s t r a p p i n g   k u b e l e t   t o   c r e a t e   a   c e r t i f i c a t e   s i g n i n g   r e q u e s t   ( C S R )


Question: What is Recognizing client certificates?

Answer: T h i s   i s   n o r m a l   f o r   a l l   c l i e n t   c e r t i f i c a t e   a u t h e n t i c a t i o n .   I f   n o t   a l r e a d y   s e t ,   a d d   t h e   - - c l i e n t - c a - f i l e = F I L E N A M E   f l a g   t o   t h e   k u b e - a p i s e r v e r   c o m m a n d   t o   e n a b l e   c l i e n t   c e r t i f i c a t e   a u t h e n t i c a t i o n ,   r e f e r e n c i n g   a   c e r t i f i c a t e   a u t h o r i t y   b u n d l e   c o n t a i n i n g   t h e   s i g n i n g   c e r t i f i c a t e ,   f o r   e x a m p l e   - - c l i e n t - c a - f i l e = / v a r / l i b / k u b e r n e t e s / c a . p e m .


Question: What is Initial bootstrap authentication?

Answer: I n   o r d e r   f o r   t h e   b o o t s t r a p p i n g   k u b e l e t   t o   c o n n e c t   t o   k u b e - a p i s e r v e r   a n d   r e q u e s t   a   c e r t i f i c a t e ,   i t   m u s t   f i r s t   a u t h e n t i c a t e   t o   t h e   s e r v e r .   Y o u   c a n   u s e   a n y   a u t h e n t i c a t o r   t h a t   c a n   a u t h e n t i c a t e   t h e   k u b e l e t .   W h i l e   a n y   a u t h e n t i c a t i o n   s t r a t e g y   c a n   b e   u s e d   f o r   t h e   k u b e l e t ' s   i n i t i a l   b o o t s t r a p   c r e d e n t i a l s ,   t h e   f o l l o w i n g   t w o   a u t h e n t i c a t o r s   a r e   r e c o m m e n d e d   f o r   e a s e   o f   p r o v i s i o n i n g .   B o o t s t r a p   T o k e n s T o k e n   a u t h e n t i c a t i o n   f i l e   U s i n g   b o o t s t r a p   t o k e n s   i s   a   s i m p l e r   a n d   m o r e   e a s i l y   m a n a g e d   m e t h o d   t o   a u t h e n t i c a t e   k u b e l e t s ,   a n d   d o e s   n o t   r e q u i r e   a n y   a d d i t i o n a l   f l a g s   w h e n   s t a r t i n g   k u b e - a p i s e r v e r .   W h i c h e v e r   m e t h o d   y o u   c h o o s e ,   t h e   r e q u i r e m e n t   i s   t h a t   t h e   k u b e l e t   b e   a b l e   t o   a u t h e n t i c a t e   a s   a   u s e r   w i t h   t h e   r i g h t s   t o :   c r e a t e   a n d   r e t r i e v e   C S R s b e   a u t o m a t i c a l l y   a p p r o v e d   t o   r e q u e s t   n o d e   c l i e n t   c e r t i f i c a t e s ,   i f   a u t o m a t i c   a p p r o v a l   i s   e n a b l e d .   A   k u b e l e t   a u t h e n t i c a t i n g   u s i n g   b o o t s t r a p   t o k e n s   i s   a u t h e n t i c a t e d   a s   a   u s e r   i n   t h e   g r o u p   s y s t e m : b o o t s t r a p p e r s ,   w h i c h   i s   t h e   s t a n d a r d   m e t h o d   t o   u s e .   A s   t h i s   f e a t u r e   m a t u r e s ,   y o u   s h o u l


Question: What is Bootstrap tokens?

Answer: B o o t s t r a p   t o k e n s   a r e   d e s c r i b e d   i n   d e t a i l   h e r e .   T h e s e   a r e   t o k e n s   t h a t   a r e   s t o r e d   a s   s e c r e t s   i n   t h e   K u b e r n e t e s   c l u s t e r ,   a n d   t h e n   i s s u e d   t o   t h e   i n d i v i d u a l   k u b e l e t .   Y o u   c a n   u s e   a   s i n g l e   t o k e n   f o r   a n   e n t i r e   c l u s t e r ,   o r   i s s u e   o n e   p e r   w o r k e r   n o d e .   T h e   p r o c e s s   i s   t w o - f o l d :   C r e a t e   a   K u b e r n e t e s   s e c r e t   w i t h   t h e   t o k e n   I D ,   s e c r e t   a n d   s c o p e ( s ) . I s s u e   t h e   t o k e n   t o   t h e   k u b e l e t   F r o m   t h e   k u b e l e t ' s   p e r s p e c t i v e ,   o n e   t o k e n   i s   l i k e   a n o t h e r   a n d   h a s   n o   s p e c i a l   m e a n i n g .   F r o m   t h e   k u b e - a p i s e r v e r ' s   p e r s p e c t i v e ,   h o w e v e r ,   t h e   b o o t s t r a p   t o k e n   i s   s p e c i a l .   D u e   t o   i t s   t y p e ,   n a m e s p a c e   a n d   n a m e ,   k u b e - a p i s e r v e r   r e c o g n i z e s   i t   a s   a   s p e c i a l   t o k e n ,   a n d   g r a n t s   a n y o n e   a u t h e n t i c a t i n g   w i t h   t h a t   t o k e n   s p e c i a l   b o o t s t r a p   r i g h t s ,   n o t a b l y   t r e a t i n g   t h e m   a s   a   m e m b e r   o f   t h e   s y s t e m : b o o t s t r a p p e r s   g r o u p .   T h i s   f u l f i l l s   a   b a s i c   r e q u i r e m e n t   f o r   T L S   b o o t s t r a p p i n g .   T h e   d e t a i l s   f o r   c r e a t i n g   t h e   s e c r e t   a r e   a v a i l a b l e   h e r e .   I f   y o u   w a n t   t o   u s e   b o o t s t r a p   t o k e n s ,   y o u   m u s t   e n a b l e   i t   o n   k u b e - a p i s e r v e r   w i t h   t h e   f l a g :   - - e n a b l e - b o o t s t r a p - t o k e n - a u t h = t r u e


Question: What is Token authentication file?

Answer: k u b e - a p i s e r v e r   h a s   t h e   a b i l i t y   t o   a c c e p t   t o k e n s   a s   a u t h e n t i c a t i o n .   T h e s e   t o k e n s   a r e   a r b i t r a r y   b u t   s h o u l d   r e p r e s e n t   a t   l e a s t   1 2 8   b i t s   o f   e n t r o p y   d e r i v e d   f r o m   a   s e c u r e   r a n d o m   n u m b e r   g e n e r a t o r   ( s u c h   a s   / d e v / u r a n d o m   o n   m o s t   m o d e r n   L i n u x   s y s t e m s ) .   T h e r e   a r e   m u l t i p l e   w a y s   y o u   c a n   g e n e r a t e   a   t o k e n .   F o r   e x a m p l e :   h e a d   - c   1 6   / d e v / u r a n d o m   |   o d   - A n   - t   x   |   t r   - d   '   '   T h i s   w i l l   g e n e r a t e   t o k e n s   t h a t   l o o k   l i k e   0 2 b 5 0 b 0 5 2 8 3 e 9 8 d d 0 f d 7 1 d b 4 9 6 e f 0 1 e 8 .   T h e   t o k e n   f i l e   s h o u l d   l o o k   l i k e   t h e   f o l l o w i n g   e x a m p l e ,   w h e r e   t h e   f i r s t   t h r e e   v a l u e s   c a n   b e   a n y t h i n g   a n d   t h e   q u o t e d   g r o u p   n a m e   s h o u l d   b e   a s   d e p i c t e d :   0 2 b 5 0 b 0 5 2 8 3 e 9 8 d d 0 f d 7 1 d b 4 9 6 e f 0 1 e 8 , k u b e l e t - b o o t s t r a p , 1 0 0 0 1 , " s y s t e m : b o o t s t r a p p e r s "   A d d   t h e   - - t o k e n - a u t h - f i l e = F I L E N A M E   f l a g   t o   t h e   k u b e - a p i s e r v e r   c o m m a n d   ( i n   y o u r   s y s t e m d   u n i t   f i l e   p e r h a p s )   t o   e n a b l e   t h e   t o k e n   f i l e .   S e e   d o c s   h e r e   f o r   f u r t h e r   d e t a i l s .


Question: What is Authorize kubelet to create CSR?

Answer: N o w   t h a t   t h e   b o o t s t r a p p i n g   n o d e   i s   a u t h e n t i c a t e d   a s   p a r t   o f   t h e   s y s t e m : b o o t s t r a p p e r s   g r o u p ,   i t   n e e d s   t o   b e   a u t h o r i z e d   t o   c r e a t e   a   c e r t i f i c a t e   s i g n i n g   r e q u e s t   ( C S R )   a s   w e l l   a s   r e t r i e v e   i t   w h e n   d o n e .   F o r t u n a t e l y ,   K u b e r n e t e s   s h i p s   w i t h   a   C l u s t e r R o l e   w i t h   p r e c i s e l y   t h e s e   ( a n d   o n l y   t h e s e )   p e r m i s s i o n s ,   s y s t e m : n o d e - b o o t s t r a p p e r .   T o   d o   t h i s ,   y o u   o n l y   n e e d   t o   c r e a t e   a   C l u s t e r R o l e B i n d i n g   t h a t   b i n d s   t h e   s y s t e m : b o o t s t r a p p e r s   g r o u p   t o   t h e   c l u s t e r   r o l e   s y s t e m : n o d e - b o o t s t r a p p e r .   #   e n a b l e   b o o t s t r a p p i n g   n o d e s   t o   c r e a t e   C S R   a p i V e r s i o n :   r b a c . a u t h o r i z a t i o n . k 8 s . i o / v 1   k i n d :   C l u s t e r R o l e B i n d i n g   m e t a d a t a :   n a m e :   c r e a t e - c s r s - f o r - b o o t s t r a p p i n g   s u b j e c t s :   -   k i n d :   G r o u p   n a m e :   s y s t e m : b o o t s t r a p p e r s   a p i G r o u p :   r b a c . a u t h o r i z a t i o n . k 8 s . i o   r o l e R e f :   k i n d :   C l u s t e r R o l e   n a m e :   s y s t e m : n o d e - b o o t s t r a p p e r   a p i G r o u p :   r b a c . a u t h o r i z a t i o n . k 8 s . i o


Question: What is kube-controller-manager configuration?

Answer: W h i l e   t h e   a p i s e r v e r   r e c e i v e s   t h e   r e q u e s t s   f o r   c e r t i f i c a t e s   f r o m   t h e   k u b e l e t   a n d   a u t h e n t i c a t e s   t h o s e   r e q u e s t s ,   t h e   c o n t r o l l e r - m a n a g e r   i s   r e s p o n s i b l e   f o r   i s s u i n g   a c t u a l   s i g n e d   c e r t i f i c a t e s .   T h e   c o n t r o l l e r - m a n a g e r   p e r f o r m s   t h i s   f u n c t i o n   v i a   a   c e r t i f i c a t e - i s s u i n g   c o n t r o l   l o o p .   T h i s   t a k e s   t h e   f o r m   o f   a   c f s s l   l o c a l   s i g n e r   u s i n g   a s s e t s   o n   d i s k .   C u r r e n t l y ,   a l l   c e r t i f i c a t e s   i s s u e d   h a v e   o n e   y e a r   v a l i d i t y   a n d   a   d e f a u l t   s e t   o f   k e y   u s a g e s .   I n   o r d e r   f o r   t h e   c o n t r o l l e r - m a n a g e r   t o   s i g n   c e r t i f i c a t e s ,   i t   n e e d s   t h e   f o l l o w i n g :   a c c e s s   t o   t h e   " K u b e r n e t e s   C A   k e y   a n d   c e r t i f i c a t e "   t h a t   y o u   c r e a t e d   a n d   d i s t r i b u t e d e n a b l i n g   C S R   s i g n i n g


Question: What is Access to key and certificate?

Answer: A s   d e s c r i b e d   e a r l i e r ,   y o u   n e e d   t o   c r e a t e   a   K u b e r n e t e s   C A   k e y   a n d   c e r t i f i c a t e ,   a n d   d i s t r i b u t e   i t   t o   t h e   c o n t r o l   p l a n e   n o d e s .   T h e s e   w i l l   b e   u s e d   b y   t h e   c o n t r o l l e r - m a n a g e r   t o   s i g n   t h e   k u b e l e t   c e r t i f i c a t e s .   S i n c e   t h e s e   s i g n e d   c e r t i f i c a t e s   w i l l ,   i n   t u r n ,   b e   u s e d   b y   t h e   k u b e l e t   t o   a u t h e n t i c a t e   a s   a   r e g u l a r   k u b e l e t   t o   k u b e - a p i s e r v e r ,   i t   i s   i m p o r t a n t   t h a t   t h e   C A   p r o v i d e d   t o   t h e   c o n t r o l l e r - m a n a g e r   a t   t h i s   s t a g e   a l s o   b e   t r u s t e d   b y   k u b e - a p i s e r v e r   f o r   a u t h e n t i c a t i o n .   T h i s   i s   p r o v i d e d   t o   k u b e - a p i s e r v e r   w i t h   t h e   f l a g   - - c l i e n t - c a - f i l e = F I L E N A M E   ( f o r   e x a m p l e ,   - - c l i e n t - c a - f i l e = / v a r / l i b / k u b e r n e t e s / c a . p e m ) ,   a s   d e s c r i b e d   i n   t h e   k u b e - a p i s e r v e r   c o n f i g u r a t i o n   s e c t i o n .   T o   p r o v i d e   t h e   K u b e r n e t e s   C A   k e y   a n d   c e r t i f i c a t e   t o   k u b e - c o n t r o l l e r - m a n a g e r ,   u s e   t h e   f o l l o w i n g   f l a g s :   - - c l u s t e r - s i g n i n g - c e r t - f i l e = " / e t c / p a t h / t o / k u b e r n e t e s / c a / c a . c r t "   - - c l u s t e r - s i g n i n g - k e y - f i l e = " / e t c / p a t h / t o / k u b e r n e t e s / c a / c a . k e y "   F o r   e x a m p l e :   - - c l u s t e r - s i g n i n g - c e r t - f i l e = " / v a r / l i b / k u b e r n e t e s / c a . p e m "   - - c l u s t e r - s i g n i n g - k e y - f i l e = " / v a r / l i b / k u b e r n e t e s /


Question: What is Approval?

Answer: I n   o r d e r   t o   a p p r o v e   C S R s ,   y o u   n e e d   t o   t e l l   t h e   c o n t r o l l e r - m a n a g e r   t h a t   i t   i s   a c c e p t a b l e   t o   a p p r o v e   t h e m .   T h i s   i s   d o n e   b y   g r a n t i n g   R B A C   p e r m i s s i o n s   t o   t h e   c o r r e c t   g r o u p .   T h e r e   a r e   t w o   d i s t i n c t   s e t s   o f   p e r m i s s i o n s :   n o d e c l i e n t :   I f   a   n o d e   i s   c r e a t i n g   a   n e w   c e r t i f i c a t e   f o r   a   n o d e ,   t h e n   i t   d o e s   n o t   h a v e   a   c e r t i f i c a t e   y e t .   I t   i s   a u t h e n t i c a t i n g   u s i n g   o n e   o f   t h e   t o k e n s   l i s t e d   a b o v e ,   a n d   t h u s   i s   p a r t   o f   t h e   g r o u p   s y s t e m : b o o t s t r a p p e r s . s e l f n o d e c l i e n t :   I f   a   n o d e   i s   r e n e w i n g   i t s   c e r t i f i c a t e ,   t h e n   i t   a l r e a d y   h a s   a   c e r t i f i c a t e   ( b y   d e f i n i t i o n ) ,   w h i c h   i t   u s e s   c o n t i n u o u s l y   t o   a u t h e n t i c a t e   a s   p a r t   o f   t h e   g r o u p   s y s t e m : n o d e s .   T o   e n a b l e   t h e   k u b e l e t   t o   r e q u e s t   a n d   r e c e i v e   a   n e w   c e r t i f i c a t e ,   c r e a t e   a   C l u s t e r R o l e B i n d i n g   t h a t   b i n d s   t h e   g r o u p   i n   w h i c h   t h e   b o o t s t r a p p i n g   n o d e   i s   a   m e m b e r   s y s t e m : b o o t s t r a p p e r s   t o   t h e   C l u s t e r R o l e   t h a t   g r a n t s   i t   p e r m i s s i o n ,   s y s t e m : c e r t i f i c a t e s . k 8 s . i o : c e r t i f i c a t e s i g n i n g r e q u e s t s : n o d e c l i e n t :   #   A p p r o v e   a l l   C S R s   f o r   t h e   g r o u p   " s y s t e m : b o o t s t r a p p e r s "   a p i V e r s i o n :   r b a c . a u t h o r i z a t i o n . k 8 s . i o / v 1   k


Question: What is kubelet configuration?

Answer: F i n a l l y ,   w i t h   t h e   c o n t r o l   p l a n e   n o d e s   p r o p e r l y   s e t   u p   a n d   a l l   o f   t h e   n e c e s s a r y   a u t h e n t i c a t i o n   a n d   a u t h o r i z a t i o n   i n   p l a c e ,   w e   c a n   c o n f i g u r e   t h e   k u b e l e t .   T h e   k u b e l e t   r e q u i r e s   t h e   f o l l o w i n g   c o n f i g u r a t i o n   t o   b o o t s t r a p :   A   p a t h   t o   s t o r e   t h e   k e y   a n d   c e r t i f i c a t e   i t   g e n e r a t e s   ( o p t i o n a l ,   c a n   u s e   d e f a u l t ) A   p a t h   t o   a   k u b e c o n f i g   f i l e   t h a t   d o e s   n o t   y e t   e x i s t ;   i t   w i l l   p l a c e   t h e   b o o t s t r a p p e d   c o n f i g   f i l e   h e r e A   p a t h   t o   a   b o o t s t r a p   k u b e c o n f i g   f i l e   t o   p r o v i d e   t h e   U R L   f o r   t h e   s e r v e r   a n d   b o o t s t r a p   c r e d e n t i a l s ,   e . g .   a   b o o t s t r a p   t o k e n O p t i o n a l :   i n s t r u c t i o n s   t o   r o t a t e   c e r t i f i c a t e s   T h e   b o o t s t r a p   k u b e c o n f i g   s h o u l d   b e   i n   a   p a t h   a v a i l a b l e   t o   t h e   k u b e l e t ,   f o r   e x a m p l e   / v a r / l i b / k u b e l e t / b o o t s t r a p - k u b e c o n f i g .   I t s   f o r m a t   i s   i d e n t i c a l   t o   a   n o r m a l   k u b e c o n f i g   f i l e .   A   s a m p l e   f i l e   m i g h t   l o o k   a s   f o l l o w s :   a p i V e r s i o n :   v 1   k i n d :   C o n f i g   c l u s t e r s :   -   c l u s t e r :   c e r t i f i c a t e - a u t h o r i t y :   / v a r / l i b / k u b e r n e t e s / c a . p e m   s e r v e r :   h t t p s : / / m y . s e r v e r . e x a m p l e . c o m : 6 4 4 3   n a m e :   b o o t s t r a p   c o n t e x t s :   -   c o n t e x t :   c l u s t e r :   b o o t s t r a p   u s e r :   k u b e l e t - b o o t s t r a p   n a m e


Question: What is Client and serving certificates?

Answer: A l l   o f   t h e   a b o v e   r e l a t e   t o   k u b e l e t   c l i e n t   c e r t i f i c a t e s ,   s p e c i f i c a l l y ,   t h e   c e r t i f i c a t e s   a   k u b e l e t   u s e s   t o   a u t h e n t i c a t e   t o   k u b e - a p i s e r v e r .   A   k u b e l e t   a l s o   c a n   u s e   s e r v i n g   c e r t i f i c a t e s .   T h e   k u b e l e t   i t s e l f   e x p o s e s   a n   h t t p s   e n d p o i n t   f o r   c e r t a i n   f e a t u r e s .   T o   s e c u r e   t h e s e ,   t h e   k u b e l e t   c a n   d o   o n e   o f :   u s e   p r o v i d e d   k e y   a n d   c e r t i f i c a t e ,   v i a   t h e   - - t l s - p r i v a t e - k e y - f i l e   a n d   - - t l s - c e r t - f i l e   f l a g s c r e a t e   s e l f - s i g n e d   k e y   a n d   c e r t i f i c a t e ,   i f   a   k e y   a n d   c e r t i f i c a t e   a r e   n o t   p r o v i d e d r e q u e s t   s e r v i n g   c e r t i f i c a t e s   f r o m   t h e   c l u s t e r   s e r v e r ,   v i a   t h e   C S R   A P I   T h e   c l i e n t   c e r t i f i c a t e   p r o v i d e d   b y   T L S   b o o t s t r a p p i n g   i s   s i g n e d ,   b y   d e f a u l t ,   f o r   c l i e n t   a u t h   o n l y ,   a n d   t h u s   c a n n o t   b e   u s e d   a s   s e r v i n g   c e r t i f i c a t e s ,   o r   s e r v e r   a u t h .   H o w e v e r ,   y o u   c a n   e n a b l e   i t s   s e r v e r   c e r t i f i c a t e ,   a t   l e a s t   p a r t i a l l y ,   v i a   c e r t i f i c a t e   r o t a t i o n .


Question: What is Certificate rotation?

Answer: K u b e r n e t e s   v 1 . 8   a n d   h i g h e r   k u b e l e t   i m p l e m e n t s   f e a t u r e s   f o r   e n a b l i n g   r o t a t i o n   o f   i t s   c l i e n t   a n d / o r   s e r v i n g   c e r t i f i c a t e s .   N o t e ,   r o t a t i o n   o f   s e r v i n g   c e r t i f i c a t e   i s   a   b e t a   f e a t u r e   a n d   r e q u i r e s   t h e   R o t a t e K u b e l e t S e r v e r C e r t i f i c a t e   f e a t u r e   f l a g   o n   t h e   k u b e l e t   ( e n a b l e d   b y   d e f a u l t ) .   Y o u   c a n   c o n f i g u r e   t h e   k u b e l e t   t o   r o t a t e   i t s   c l i e n t   c e r t i f i c a t e s   b y   c r e a t i n g   n e w   C S R s   a s   i t s   e x i s t i n g   c r e d e n t i a l s   e x p i r e .   T o   e n a b l e   t h i s   f e a t u r e ,   u s e   t h e   r o t a t e C e r t i f i c a t e s   f i e l d   o f   k u b e l e t   c o n f i g u r a t i o n   f i l e   o r   p a s s   t h e   f o l l o w i n g   c o m m a n d   l i n e   a r g u m e n t   t o   t h e   k u b e l e t   ( d e p r e c a t e d ) :   - - r o t a t e - c e r t i f i c a t e s   E n a b l i n g   R o t a t e K u b e l e t S e r v e r C e r t i f i c a t e   c a u s e s   t h e   k u b e l e t   b o t h   t o   r e q u e s t   a   s e r v i n g   c e r t i f i c a t e   a f t e r   b o o t s t r a p p i n g   i t s   c l i e n t   c r e d e n t i a l s   a n d   t o   r o t a t e   t h a t   c e r t i f i c a t e .   T o   e n a b l e   t h i s   b e h a v i o r ,   u s e   t h e   f i e l d   s e r v e r T L S B o o t s t r a p   o f   t h e   k u b e l e t   c o n f i g u r a t i o n   f i l e   o r   p a s s   t h e   f o l l o w i n g   c o m m a n d   l i n e   a r g u m e n t   t o   t h e   k u b e l e t   ( d e p r e c a t e d ) :   - - r o t a t e - s e r v e r - c e r t i f i c a t e s


Question: What is Note:?

Answer: T h e   C S R   a p p r o v i n g   c o n t r o l l e r s   i m p l e m e n t e d   i n   c o r e   K u b e r n e t e s   d o   n o t   a p p r o v e   n o d e   s e r v i n g   c e r t i f i c a t e s   f o r   s e c u r i t y   r e a s o n s .   T o   u s e   R o t a t e K u b e l e t S e r v e r C e r t i f i c a t e   o p e r a t o r s   n e e d   t o   r u n   a   c u s t o m   a p p r o v i n g   c o n t r o l l e r ,   o r   m a n u a l l y   a p p r o v e   t h e   s e r v i n g   c e r t i f i c a t e   r e q u e s t s .   A   d e p l o y m e n t - s p e c i f i c   a p p r o v a l   p r o c e s s   f o r   k u b e l e t   s e r v i n g   c e r t i f i c a t e s   s h o u l d   t y p i c a l l y   o n l y   a p p r o v e   C S R s   w h i c h :   a r e   r e q u e s t e d   b y   n o d e s   ( e n s u r e   t h e   s p e c . u s e r n a m e   f i e l d   i s   o f   t h e   f o r m   s y s t e m : n o d e : < n o d e N a m e >   a n d   s p e c . g r o u p s   c o n t a i n s   s y s t e m : n o d e s ) r e q u e s t   u s a g e s   f o r   a   s e r v i n g   c e r t i f i c a t e   ( e n s u r e   s p e c . u s a g e s   c o n t a i n s   s e r v e r   a u t h ,   o p t i o n a l l y   c o n t a i n s   d i g i t a l   s i g n a t u r e   a n d   k e y   e n c i p h e r m e n t ,   a n d   c o n t a i n s   n o   o t h e r   u s a g e s ) o n l y   h a v e   I P   a n d   D N S   s u b j e c t A l t N a m e s   t h a t   b e l o n g   t o   t h e   r e q u e s t i n g   n o d e ,   a n d   h a v e   n o   U R I   a n d   E m a i l   s u b j e c t A l t N a m e s   ( p a r s e   t h e   x 5 0 9   C e r t i f i c a t e   S i g n i n g   R e q u e s t   i n   s p e c . r e q u e s t   t o   v e r i f y   s u b j e c t A l t N a m e s )


Question: What is Other authenticating components?

Answer: A l l   o f   T L S   b o o t s t r a p p i n g   d e s c r i b e d   i n   t h i s   d o c u m e n t   r e l a t e s   t o   t h e   k u b e l e t .   H o w e v e r ,   o t h e r   c o m p o n e n t s   m a y   n e e d   t o   c o m m u n i c a t e   d i r e c t l y   w i t h   k u b e - a p i s e r v e r .   N o t a b l e   i s   k u b e - p r o x y ,   w h i c h   i s   p a r t   o f   t h e   K u b e r n e t e s   n o d e   c o m p o n e n t s   a n d   r u n s   o n   e v e r y   n o d e ,   b u t   m a y   a l s o   i n c l u d e   o t h e r   c o m p o n e n t s   s u c h   a s   m o n i t o r i n g   o r   n e t w o r k i n g .   L i k e   t h e   k u b e l e t ,   t h e s e   o t h e r   c o m p o n e n t s   a l s o   r e q u i r e   a   m e t h o d   o f   a u t h e n t i c a t i n g   t o   k u b e - a p i s e r v e r .   Y o u   h a v e   s e v e r a l   o p t i o n s   f o r   g e n e r a t i n g   t h e s e   c r e d e n t i a l s :   T h e   o l d   w a y :   C r e a t e   a n d   d i s t r i b u t e   c e r t i f i c a t e s   t h e   s a m e   w a y   y o u   d i d   f o r   k u b e l e t   b e f o r e   T L S   b o o t s t r a p p i n g D a e m o n S e t :   S i n c e   t h e   k u b e l e t   i t s e l f   i s   l o a d e d   o n   e a c h   n o d e ,   a n d   i s   s u f f i c i e n t   t o   s t a r t   b a s e   s e r v i c e s ,   y o u   c a n   r u n   k u b e - p r o x y   a n d   o t h e r   n o d e - s p e c i f i c   s e r v i c e s   n o t   a s   a   s t a n d a l o n e   p r o c e s s ,   b u t   r a t h e r   a s   a   d a e m o n s e t   i n   t h e   k u b e - s y s t e m   n a m e s p a c e .   S i n c e   i t   w i l l   b e   i n - c l u s t e r ,   y o u   c a n   g i v e   i t   a   p r o p e r   s e r v i c e   a c c o u n t   w i t h   a p p r o p r i a t e   p e r m i s s i o n s   t o   p e r f o r m   i t s   a c t i v i t i e s .   T h i s   m a y   b e   t h e   s i m p l e s t   w a y   t o   c o n f i g u r e   s u


Question: What is kubectl approval?

Answer: C S R s   c a n   b e   a p p r o v e d   o u t s i d e   o f   t h e   a p p r o v a l   f l o w s   b u i l t   i n t o   t h e   c o n t r o l l e r   m a n a g e r .   T h e   s i g n i n g   c o n t r o l l e r   d o e s   n o t   i m m e d i a t e l y   s i g n   a l l   c e r t i f i c a t e   r e q u e s t s .   I n s t e a d ,   i t   w a i t s   u n t i l   t h e y   h a v e   b e e n   f l a g g e d   w i t h   a n   " A p p r o v e d "   s t a t u s   b y   a n   a p p r o p r i a t e l y - p r i v i l e g e d   u s e r .   T h i s   f l o w   i s   i n t e n d e d   t o   a l l o w   f o r   a u t o m a t e d   a p p r o v a l   h a n d l e d   b y   a n   e x t e r n a l   a p p r o v a l   c o n t r o l l e r   o r   t h e   a p p r o v a l   c o n t r o l l e r   i m p l e m e n t e d   i n   t h e   c o r e   c o n t r o l l e r - m a n a g e r .   H o w e v e r   c l u s t e r   a d m i n i s t r a t o r s   c a n   a l s o   m a n u a l l y   a p p r o v e   c e r t i f i c a t e   r e q u e s t s   u s i n g   k u b e c t l .   A n   a d m i n i s t r a t o r   c a n   l i s t   C S R s   w i t h   k u b e c t l   g e t   c s r   a n d   d e s c r i b e   o n e   i n   d e t a i l   w i t h   k u b e c t l   d e s c r i b e   c s r   < n a m e > .   A n   a d m i n i s t r a t o r   c a n   a p p r o v e   o r   d e n y   a   C S R   w i t h   k u b e c t l   c e r t i f i c a t e   a p p r o v e   < n a m e >   a n d   k u b e c t l   c e r t i f i c a t e   d e n y   < n a m e > .


Question: What is 3.15 - Mutating Admission Policy?

Answer: T h i s   p a g e   p r o v i d e s   a n   o v e r v i e w   o f   M u t a t i n g A d m i s s i o n P o l i c i e s .   M u t a t i n g A d m i s s i o n P o l i c i e s   a l l o w   y o u   c h a n g e   w h a t   h a p p e n s   w h e n   s o m e o n e   w r i t e s   a   c h a n g e   t o   t h e   K u b e r n e t e s   A P I .   I f   y o u   w a n t   t o   u s e   d e c l a r a t i v e   p o l i c i e s   j u s t   t o   p r e v e n t   a   p a r t i c u l a r   k i n d   o f   c h a n g e   t o   r e s o u r c e s   ( f o r   e x a m p l e :   p r o t e c t i n g   p l a t f o r m   n a m e s p a c e s   f r o m   d e l e t i o n ) ,   V a l i d a t i n g A d m i s s i o n P o l i c y   i s   a   s i m p l e r   a n d   m o r e   e f f e c t i v e   a l t e r n a t i v e .   T o   u s e   t h e   f e a t u r e ,   e n a b l e   t h e   M u t a t i n g A d m i s s i o n P o l i c y   f e a t u r e   g a t e   ( w h i c h   i s   o f f   b y   d e f a u l t )   a n d   s e t   - - r u n t i m e - c o n f i g = a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1 b e t a 1 = t r u e   o n   t h e   k u b e - a p i s e r v e r .


Question: What is What are MutatingAdmissionPolicies??

Answer: M u t a t i n g   a d m i s s i o n   p o l i c i e s   o f f e r   a   d e c l a r a t i v e ,   i n - p r o c e s s   a l t e r n a t i v e   t o   m u t a t i n g   a d m i s s i o n   w e b h o o k s .   M u t a t i n g   a d m i s s i o n   p o l i c i e s   u s e   t h e   C o m m o n   E x p r e s s i o n   L a n g u a g e   ( C E L )   t o   d e c l a r e   m u t a t i o n s   t o   r e s o u r c e s .   M u t a t i o n s   c a n   b e   d e f i n e d   e i t h e r   w i t h   a n   a p p l y   c o n f i g u r a t i o n   t h a t   i s   m e r g e d   u s i n g   t h e   s e r v e r   s i d e   a p p l y   m e r g e   s t r a t e g y ,   o r   a   J S O N   p a t c h .   M u t a t i n g   a d m i s s i o n   p o l i c i e s   a r e   h i g h l y   c o n f i g u r a b l e ,   e n a b l i n g   p o l i c y   a u t h o r s   t o   d e f i n e   p o l i c i e s   t h a t   c a n   b e   p a r a m e t e r i z e d   a n d   s c o p e d   t o   r e s o u r c e s   a s   n e e d e d   b y   c l u s t e r   a d m i n i s t r a t o r s .


Question: What is What resources make a policy?

Answer: A   p o l i c y   i s   g e n e r a l l y   m a d e   u p   o f   t h r e e   r e s o u r c e s :   T h e   M u t a t i n g A d m i s s i o n P o l i c y   d e s c r i b e s   t h e   a b s t r a c t   l o g i c   o f   a   p o l i c y   ( t h i n k :   " t h i s   p o l i c y   s e t s   a   p a r t i c u l a r   l a b e l   t o   a   p a r t i c u l a r   v a l u e " ) . A   p a r a m e t e r   r e s o u r c e   p r o v i d e s   i n f o r m a t i o n   t o   a   M u t a t i n g A d m i s s i o n P o l i c y   t o   m a k e   i t   a   c o n c r e t e   s t a t e m e n t   ( t h i n k   " s e t   t h e   o w n e r   l a b e l   t o   s o m e t h i n g   l i k e   c o m p a n y . e x a m p l e . c o m " ) .   P a r a m e t e r   r e s o u r c e s   r e f e r   t o   K u b e r n e t e s   r e s o u r c e s ,   a v a i l a b l e   i n   t h e   K u b e r n e t e s   A P I .   T h e y   c a n   b e   b u i l t - i n   t y p e s   o r   e x t e n s i o n s ,   s u c h   a s   a   C u s t o m R e s o u r c e D e f i n i t i o n   ( C R D ) .   F o r   e x a m p l e ,   y o u   c a n   u s e   a   C o n f i g M a p   a s   a   p a r a m e t e r . A   M u t a t i n g A d m i s s i o n P o l i c y B i n d i n g   l i n k s   t h e   a b o v e   ( M u t a t i n g A d m i s s i o n P o l i c y   a n d   p a r a m e t e r )   r e s o u r c e s   t o g e t h e r   a n d   p r o v i d e s   s c o p i n g .   I f   y o u   o n l y   w a n t   t o   s e t   a n   o w n e r   l a b e l   f o r   P o d s ,   a n d   n o t   o t h e r   A P I   k i n d s ,   t h e   b i n d i n g   i s   w h e r e   y o u   s p e c i f y   t h i s   m u t a t i o n .   T h e   M u t a t i n g A d m i s s i o n P o l i c y   d e s c r i b e s   t h e   a b s t r a c t   l o g i c   o f   a   p o l i c y   ( t h i n k :   " t h i s   p o l i c y   s e t s   a   p a r t i c u l a r   l a b e l   t o   a   p a r t i c u l a r   v a l u e " ) .   A   p a r a m e t e r   r e s o u r c e   p r o v i d e s


Question: What is Getting Started with MutatingAdmissionPolicies?

Answer: M u t a t i n g   a d m i s s i o n   p o l i c y   i s   p a r t   o f   t h e   c l u s t e r   c o n t r o l - p l a n e .   Y o u   s h o u l d   w r i t e   a n d   d e p l o y   t h e m   w i t h   g r e a t   c a u t i o n .   T h e   f o l l o w i n g   d e s c r i b e s   h o w   t o   q u i c k l y   e x p e r i m e n t   w i t h   M u t a t i n g   a d m i s s i o n   p o l i c y .


Question: What is Create a MutatingAdmissionPolicy?

Answer: T h e   f o l l o w i n g   i s   a n   e x a m p l e   o f   a   M u t a t i n g A d m i s s i o n P o l i c y .   T h i s   p o l i c y   m u t a t e s   n e w l y   c r e a t e d   P o d s   t o   h a v e   a   s i d e c a r   c o n t a i n e r   i f   i t   d o e s   n o t   e x i s t .   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1 b e t a 1   k i n d :   M u t a t i n g A d m i s s i o n P o l i c y   m e t a d a t a :   n a m e :   " s i d e c a r - p o l i c y . e x a m p l e . c o m "   s p e c :   p a r a m K i n d :   k i n d :   S i d e c a r   a p i V e r s i o n :   m u t a t i o n s . e x a m p l e . c o m / v 1   m a t c h C o n s t r a i n t s :   r e s o u r c e R u l e s :   -   a p i G r o u p s :   [ " " ]   a p i V e r s i o n s :   [ " v 1 " ]   o p e r a t i o n s :   [ " C R E A T E " ]   r e s o u r c e s :   [ " p o d s " ]   m a t c h C o n d i t i o n s :   -   n a m e :   d o e s - n o t - a l r e a d y - h a v e - s i d e c a r   e x p r e s s i o n :   " ! o b j e c t . s p e c . i n i t C o n t a i n e r s . e x i s t s ( i c ,   i c . n a m e   = =   \ " m e s h - p r o x y \ " ) "   f a i l u r e P o l i c y :   F a i l   r e i n v o c a t i o n P o l i c y :   I f N e e d e d   m u t a t i o n s :   -   p a t c h T y p e :   " A p p l y C o n f i g u r a t i o n "   a p p l y C o n f i g u r a t i o n :   e x p r e s s i o n :   >   O b j e c t {   s p e c :   O b j e c t . s p e c {   i n i t C o n t a i n e r s :   [   O b j e c t . s p e c . i n i t C o n t a i n e r s {   n a m e :   " m e s h - p r o x y " ,   i m a g e :   " m e s h / p r o x y : v 1 . 0 . 0 " ,   a r g s :   [ " p r o x y " ,   " s i d e c a r " ] ,   r e s t a r t P o l i c y :   " A l w a y s "   }   ]   }   }   T h e   . s p e c . m u t a t i o n s   f i e l d   c o n s i s t s   o f   a   l i s t   o f   e x p r e s s i o n s   t h a t   e v a l u a t e   t o   r e s o u r c e   p a t c h e s .   T h e   e m i t


Question: What is Parameter resources?

Answer: P a r a m e t e r   r e s o u r c e s   a l l o w   a   p o l i c y   c o n f i g u r a t i o n   t o   b e   s e p a r a t e   f r o m   i t s   d e f i n i t i o n .   A   p o l i c y   c a n   d e f i n e   p a r a m K i n d ,   w h i c h   o u t l i n e s   G V K   o f   t h e   p a r a m e t e r   r e s o u r c e ,   a n d   t h e n   a   p o l i c y   b i n d i n g   t i e s   a   p o l i c y   b y   n a m e   ( v i a   p o l i c y N a m e )   t o   a   p a r t i c u l a r   p a r a m e t e r   r e s o u r c e   v i a   p a r a m R e f .   P l e a s e   r e f e r   t o   p a r a m e t e r   r e s o u r c e s   f o r   m o r e   i n f o r m a t i o n .


Question: What is ApplyConfiguration?

Answer: M u t a t i n g A d m i s s i o n P o l i c y   e x p r e s s i o n s   a r e   a l w a y s   C E L .   E a c h   a p p l y   c o n f i g u r a t i o n   e x p r e s s i o n   m u s t   e v a l u a t e   t o   a   C E L   o b j e c t   ( d e c l a r e d   u s i n g   O b j e c t ( )   i n i t i a l i z a t i o n ) .   A p p l y   c o n f i g u r a t i o n s   m a y   n o t   m o d i f y   a t o m i c   s t r u c t s ,   m a p s   o r   a r r a y s   d u e   t o   t h e   r i s k   o f   a c c i d e n t a l   d e l e t i o n   o f   v a l u e s   n o t   i n c l u d e d   i n   t h e   a p p l y   c o n f i g u r a t i o n .   C E L   e x p r e s s i o n s   h a v e   a c c e s s   t o   t h e   o b j e c t   t y p e s   n e e d e d   t o   c r e a t e   a p p l y   c o n f i g u r a t i o n s :   O b j e c t   -   C E L   t y p e   o f   t h e   r e s o u r c e   o b j e c t . O b j e c t . < f i e l d N a m e >   -   C E L   t y p e   o f   o b j e c t   f i e l d   ( s u c h   a s   O b j e c t . s p e c ) O b j e c t . < f i e l d N a m e 1 > . < f i e l d N a m e 2 > . . . < f i e l d N a m e N >   -   C E L   t y p e   o f   n e s t e d   f i e l d   ( s u c h   a s   O b j e c t . s p e c . c o n t a i n e r s )   C E L   e x p r e s s i o n s   h a v e   a c c e s s   t o   t h e   c o n t e n t s   o f   t h e   A P I   r e q u e s t ,   o r g a n i z e d   i n t o   C E L   v a r i a b l e s   a s   w e l l   a s   s o m e   o t h e r   u s e f u l   v a r i a b l e s :   o b j e c t   -   T h e   o b j e c t   f r o m   t h e   i n c o m i n g   r e q u e s t .   T h e   v a l u e   i s   n u l l   f o r   D E L E T E   r e q u e s t s . o l d O b j e c t   -   T h e   e x i s t i n g   o b j e c t .   T h e   v a l u e   i s   n u l l   f o r   C R E A T E   r e q u e s t s . r e q u e s t   -   A t t r i b u t e s   o f   t h e   A P I   r e q u e s t . p a r a m s   -   P a r a m e t e r   r e s o u r c e   r e f e r r e d   t o   b y   t h e   p o l i


Question: What is JSONPatch?

Answer: T h e   s a m e   m u t a t i o n   c a n   b e   w r i t t e n   a s   a   J S O N   P a t c h   a s   f o l l o w s :   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1 b e t a 1   k i n d :   M u t a t i n g A d m i s s i o n P o l i c y   m e t a d a t a :   n a m e :   " s i d e c a r - p o l i c y . e x a m p l e . c o m "   s p e c :   p a r a m K i n d :   k i n d :   S i d e c a r   a p i V e r s i o n :   m u t a t i o n s . e x a m p l e . c o m / v 1   m a t c h C o n s t r a i n t s :   r e s o u r c e R u l e s :   -   a p i G r o u p s :   [ " " ]   a p i V e r s i o n s :   [ " v 1 " ]   o p e r a t i o n s :   [ " C R E A T E " ]   r e s o u r c e s :   [ " p o d s " ]   m a t c h C o n d i t i o n s :   -   n a m e :   d o e s - n o t - a l r e a d y - h a v e - s i d e c a r   e x p r e s s i o n :   " ! o b j e c t . s p e c . i n i t C o n t a i n e r s . e x i s t s ( i c ,   i c . n a m e   = =   \ " m e s h - p r o x y \ " ) "   f a i l u r e P o l i c y :   F a i l   r e i n v o c a t i o n P o l i c y :   I f N e e d e d   m u t a t i o n s :   -   p a t c h T y p e :   " J S O N P a t c h "   j s o n P a t c h :   e x p r e s s i o n :   >   [   J S O N P a t c h {   o p :   " a d d " ,   p a t h :   " / s p e c / i n i t C o n t a i n e r s / - " ,   v a l u e :   O b j e c t . s p e c . i n i t C o n t a i n e r s {   n a m e :   " m e s h - p r o x y " ,   i m a g e :   " m e s h - p r o x y / v 1 . 0 . 0 " ,   r e s t a r t P o l i c y :   " A l w a y s "   }   }   ]   T h e   e x p r e s s i o n   w i l l   b e   e v a l u a t e d   b y   C E L   t o   c r e a t e   a   J S O N   p a t c h .   r e f :   h t t p s : / / g i t h u b . c o m / g o o g l e / c e l - s p e c   E a c h   e v a l u a t e d   e x p r e s s i o n   m u s t   r e t u r n   a n   a r r a y   o f   J S O N P a t c h   v a l u e s .   T h e J S O N P a t c h   t y p e   r e p r e s e n t s   o n e   o p e r a t i o n   f r o m


Question: What is API kinds exempt from mutating admission?

Answer: T h e r e   a r e   c e r t a i n   A P I   k i n d s   t h a t   a r e   e x e m p t   f r o m   a d m i s s i o n - t i m e   m u t a t i o n .   F o r   e x a m p l e ,   y o u   c a n ' t   c r e a t e   a   M u t a t i n g A d m i s s i o n P o l i c y   t h a t   c h a n g e s   a   M u t a t i n g A d m i s s i o n P o l i c y .   T h e   l i s t   o f   e x e m p t   A P I   k i n d s   i s :   V a l i d a t i n g A d m i s s i o n P o l i c i e s V a l i d a t i n g A d m i s s i o n P o l i c y B i n d i n g s M u t a t i n g A d m i s s i o n P o l i c i e s M u t a t i n g A d m i s s i o n P o l i c y B i n d i n g s T o k e n R e v i e w s L o c a l S u b j e c t A c c e s s R e v i e w s S e l f S u b j e c t A c c e s s R e v i e w s S e l f S u b j e c t R e v i e w s


Question: What is 3.16 - Validating Admission Policy?

Answer: T h i s   p a g e   p r o v i d e s   a n   o v e r v i e w   o f   V a l i d a t i n g   A d m i s s i o n   P o l i c y .


Question: What is What is Validating Admission Policy??

Answer: V a l i d a t i n g   a d m i s s i o n   p o l i c i e s   o f f e r   a   d e c l a r a t i v e ,   i n - p r o c e s s   a l t e r n a t i v e   t o   v a l i d a t i n g   a d m i s s i o n   w e b h o o k s .   V a l i d a t i n g   a d m i s s i o n   p o l i c i e s   u s e   t h e   C o m m o n   E x p r e s s i o n   L a n g u a g e   ( C E L )   t o   d e c l a r e   t h e   v a l i d a t i o n   r u l e s   o f   a   p o l i c y .   V a l i d a t i o n   a d m i s s i o n   p o l i c i e s   a r e   h i g h l y   c o n f i g u r a b l e ,   e n a b l i n g   p o l i c y   a u t h o r s   t o   d e f i n e   p o l i c i e s   t h a t   c a n   b e   p a r a m e t e r i z e d   a n d   s c o p e d   t o   r e s o u r c e s   a s   n e e d e d   b y   c l u s t e r   a d m i n i s t r a t o r s .


Question: What is What Resources Make a Policy?

Answer: A   p o l i c y   i s   g e n e r a l l y   m a d e   u p   o f   t h r e e   r e s o u r c e s :   T h e   V a l i d a t i n g A d m i s s i o n P o l i c y   d e s c r i b e s   t h e   a b s t r a c t   l o g i c   o f   a   p o l i c y   ( t h i n k :   " t h i s   p o l i c y   m a k e s   s u r e   a   p a r t i c u l a r   l a b e l   i s   s e t   t o   a   p a r t i c u l a r   v a l u e " ) . A   p a r a m e t e r   r e s o u r c e   p r o v i d e s   i n f o r m a t i o n   t o   a   V a l i d a t i n g A d m i s s i o n P o l i c y   t o   m a k e   i t   a   c o n c r e t e   s t a t e m e n t   ( t h i n k   " t h e   o w n e r   l a b e l   m u s t   b e   s e t   t o   s o m e t h i n g   t h a t   e n d s   i n   . c o m p a n y . c o m " ) .   A   n a t i v e   t y p e   s u c h   a s   C o n f i g M a p   o r   a   C R D   d e f i n e s   t h e   s c h e m a   o f   a   p a r a m e t e r   r e s o u r c e .   V a l i d a t i n g A d m i s s i o n P o l i c y   o b j e c t s   s p e c i f y   w h a t   K i n d   t h e y   a r e   e x p e c t i n g   f o r   t h e i r   p a r a m e t e r   r e s o u r c e . A   V a l i d a t i n g A d m i s s i o n P o l i c y B i n d i n g   l i n k s   t h e   a b o v e   r e s o u r c e s   t o g e t h e r   a n d   p r o v i d e s   s c o p i n g .   I f   y o u   o n l y   w a n t   t o   r e q u i r e   a n   o w n e r   l a b e l   t o   b e   s e t   f o r   P o d s ,   t h e   b i n d i n g   i s   w h e r e   y o u   w o u l d   s p e c i f y   t h i s   r e s t r i c t i o n .   T h e   V a l i d a t i n g A d m i s s i o n P o l i c y   d e s c r i b e s   t h e   a b s t r a c t   l o g i c   o f   a   p o l i c y   ( t h i n k :   " t h i s   p o l i c y   m a k e s   s u r e   a   p a r t i c u l a r   l a b e l   i s   s e t   t o   a   p a r t i c u l a r   v a l u e " ) .   A   p a r a m e t e r   r e s o u r c e   p r o v i d e s   i n f o r m a t i o n   t o   a   V a l i d a t i n g A d m i s s


Question: What is Getting Started with Validating Admission Policy?

Answer: V a l i d a t i n g   A d m i s s i o n   P o l i c y   i s   p a r t   o f   t h e   c l u s t e r   c o n t r o l - p l a n e .   Y o u   s h o u l d   w r i t e   a n d   d e p l o y   t h e m   w i t h   g r e a t   c a u t i o n .   T h e   f o l l o w i n g   d e s c r i b e s   h o w   t o   q u i c k l y   e x p e r i m e n t   w i t h   V a l i d a t i n g   A d m i s s i o n   P o l i c y .


Question: What is Creating a ValidatingAdmissionPolicy?

Answer: T h e   f o l l o w i n g   i s   a n   e x a m p l e   o f   a   V a l i d a t i n g A d m i s s i o n P o l i c y .   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1   k i n d :   V a l i d a t i n g A d m i s s i o n P o l i c y   m e t a d a t a :   n a m e :   " d e m o - p o l i c y . e x a m p l e . c o m "   s p e c :   f a i l u r e P o l i c y :   F a i l   m a t c h C o n s t r a i n t s :   r e s o u r c e R u l e s :   -   a p i G r o u p s :   [ " a p p s " ]   a p i V e r s i o n s :   [ " v 1 " ]   o p e r a t i o n s :   [ " C R E A T E " ,   " U P D A T E " ]   r e s o u r c e s :   [ " d e p l o y m e n t s " ]   v a l i d a t i o n s :   -   e x p r e s s i o n :   " o b j e c t . s p e c . r e p l i c a s   < =   5 "   s p e c . v a l i d a t i o n s   c o n t a i n s   C E L   e x p r e s s i o n s   w h i c h   u s e   t h e   C o m m o n   E x p r e s s i o n   L a n g u a g e   ( C E L )   t o   v a l i d a t e   t h e   r e q u e s t .   I f   a n   e x p r e s s i o n   e v a l u a t e s   t o   f a l s e ,   t h e   v a l i d a t i o n   c h e c k   i s   e n f o r c e d   a c c o r d i n g   t o   t h e   s p e c . f a i l u r e P o l i c y   f i e l d .


Question: What is Note:?

Answer: T o   c o n f i g u r e   a   v a l i d a t i n g   a d m i s s i o n   p o l i c y   f o r   u s e   i n   a   c l u s t e r ,   a   b i n d i n g   i s   r e q u i r e d .   T h e   f o l l o w i n g   i s   a n   e x a m p l e   o f   a   V a l i d a t i n g A d m i s s i o n P o l i c y B i n d i n g . :   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1   k i n d :   V a l i d a t i n g A d m i s s i o n P o l i c y B i n d i n g   m e t a d a t a :   n a m e :   " d e m o - b i n d i n g - t e s t . e x a m p l e . c o m "   s p e c :   p o l i c y N a m e :   " d e m o - p o l i c y . e x a m p l e . c o m "   v a l i d a t i o n A c t i o n s :   [ D e n y ]   m a t c h R e s o u r c e s :   n a m e s p a c e S e l e c t o r :   m a t c h L a b e l s :   e n v i r o n m e n t :   t e s t   W h e n   t r y i n g   t o   c r e a t e   a   d e p l o y m e n t   w i t h   r e p l i c a s   s e t   n o t   s a t i s f y i n g   t h e   v a l i d a t i o n   e x p r e s s i o n ,   a n   e r r o r   w i l l   r e t u r n   c o n t a i n i n g   m e s s a g e :   V a l i d a t i n g A d m i s s i o n P o l i c y   ' d e m o - p o l i c y . e x a m p l e . c o m '   w i t h   b i n d i n g   ' d e m o - b i n d i n g - t e s t . e x a m p l e . c o m '   d e n i e d   r e q u e s t :   f a i l e d   e x p r e s s i o n :   o b j e c t . s p e c . r e p l i c a s   < =   5   T h e   a b o v e   p r o v i d e s   a   s i m p l e   e x a m p l e   o f   u s i n g   V a l i d a t i n g A d m i s s i o n P o l i c y   w i t h o u t   a   p a r a m e t e r   c o n f i g u r e d .


Question: What is Validation actions?

Answer: E a c h   V a l i d a t i n g A d m i s s i o n P o l i c y B i n d i n g   m u s t   s p e c i f y   o n e   o r   m o r e   v a l i d a t i o n A c t i o n s   t o   d e c l a r e   h o w   v a l i d a t i o n s   o f   a   p o l i c y   a r e   e n f o r c e d .   T h e   s u p p o r t e d   v a l i d a t i o n A c t i o n s   a r e :   D e n y :   V a l i d a t i o n   f a i l u r e   r e s u l t s   i n   a   d e n i e d   r e q u e s t . W a r n :   V a l i d a t i o n   f a i l u r e   i s   r e p o r t e d   t o   t h e   r e q u e s t   c l i e n t   a s   a   w a r n i n g . A u d i t :   V a l i d a t i o n   f a i l u r e   i s   i n c l u d e d   i n   t h e   a u d i t   e v e n t   f o r   t h e   A P I   r e q u e s t .   F o r   e x a m p l e ,   t o   b o t h   w a r n   c l i e n t s   a b o u t   a   v a l i d a t i o n   f a i l u r e   a n d   t o   a u d i t   t h e   v a l i d a t i o n   f a i l u r e s ,   u s e :   v a l i d a t i o n A c t i o n s :   [ W a r n ,   A u d i t ]   D e n y   a n d   W a r n   m a y   n o t   b e   u s e d   t o g e t h e r   s i n c e   t h i s   c o m b i n a t i o n   n e e d l e s s l y   d u p l i c a t e s   t h e   v a l i d a t i o n   f a i l u r e   b o t h   i n   t h e   A P I   r e s p o n s e   b o d y   a n d   t h e   H T T P   w a r n i n g   h e a d e r s .   A   v a l i d a t i o n   t h a t   e v a l u a t e s   t o   f a l s e   i s   a l w a y s   e n f o r c e d   a c c o r d i n g   t o   t h e s e   a c t i o n s .   F a i l u r e s   d e f i n e d   b y   t h e   f a i l u r e P o l i c y   a r e   e n f o r c e d   a c c o r d i n g   t o   t h e s e   a c t i o n s   o n l y   i f   t h e   f a i l u r e P o l i c y   i s   s e t   t o   F a i l   ( o r   n o t   s p e c i f i e d ) ,   o t h e r w i s e   t h e   f a i l u r e s   a r e   i g n o r e d .   S e e   A u d i t   A n n o t a t i o n s :   v a l i d a t i o n   f a i l u r e s   f o r   m o r e   d e t a i l s   a b o


Question: What is Parameter resources?

Answer: P a r a m e t e r   r e s o u r c e s   a l l o w   a   p o l i c y   c o n f i g u r a t i o n   t o   b e   s e p a r a t e   f r o m   i t s   d e f i n i t i o n .   A   p o l i c y   c a n   d e f i n e   p a r a m K i n d ,   w h i c h   o u t l i n e s   G V K   o f   t h e   p a r a m e t e r   r e s o u r c e ,   a n d   t h e n   a   p o l i c y   b i n d i n g   t i e s   a   p o l i c y   b y   n a m e   ( v i a   p o l i c y N a m e )   t o   a   p a r t i c u l a r   p a r a m e t e r   r e s o u r c e   v i a   p a r a m R e f .   I f   p a r a m e t e r   c o n f i g u r a t i o n   i s   n e e d e d ,   t h e   f o l l o w i n g   i s   a n   e x a m p l e   o f   a   V a l i d a t i n g A d m i s s i o n P o l i c y   w i t h   p a r a m e t e r   c o n f i g u r a t i o n .   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1   k i n d :   V a l i d a t i n g A d m i s s i o n P o l i c y   m e t a d a t a :   n a m e :   " r e p l i c a l i m i t - p o l i c y . e x a m p l e . c o m "   s p e c :   f a i l u r e P o l i c y :   F a i l   p a r a m K i n d :   a p i V e r s i o n :   r u l e s . e x a m p l e . c o m / v 1   k i n d :   R e p l i c a L i m i t   m a t c h C o n s t r a i n t s :   r e s o u r c e R u l e s :   -   a p i G r o u p s :   [ " a p p s " ]   a p i V e r s i o n s :   [ " v 1 " ]   o p e r a t i o n s :   [ " C R E A T E " ,   " U P D A T E " ]   r e s o u r c e s :   [ " d e p l o y m e n t s " ]   v a l i d a t i o n s :   -   e x p r e s s i o n :   " o b j e c t . s p e c . r e p l i c a s   < =   p a r a m s . m a x R e p l i c a s "   r e a s o n :   I n v a l i d   T h e   s p e c . p a r a m K i n d   f i e l d   o f   t h e   V a l i d a t i n g A d m i s s i o n P o l i c y   s p e c i f i e s   t h e   k i n d   o f   r e s o u r c e s   u s e d   t o   p a r a m e t e r i z e   t h i s   p o l i c y .   F o r   t h i s   e x a m p l e ,   i t   i s   c o n f i g u r e d


Question: What is Optional parameters?

Answer: I t   c a n   b e   c o n v e n i e n t   t o   b e   a b l e   t o   h a v e   o p t i o n a l   p a r a m e t e r s   a s   p a r t   o f   a   p a r a m e t e r   r e s o u r c e ,   a n d   o n l y   v a l i d a t e   t h e m   i f   p r e s e n t .   C E L   p r o v i d e s   h a s ( ) ,   w h i c h   c h e c k s   i f   t h e   k e y   p a s s e d   t o   i t   e x i s t s .   C E L   a l s o   i m p l e m e n t s   B o o l e a n   s h o r t - c i r c u i t i n g .   I f   t h e   f i r s t   h a l f   o f   a   l o g i c a l   O R   e v a l u a t e s   t o   t r u e ,   i t   w o n ’ t   e v a l u a t e   t h e   o t h e r   h a l f   ( s i n c e   t h e   r e s u l t   o f   t h e   e n t i r e   O R   w i l l   b e   t r u e   r e g a r d l e s s ) .   C o m b i n i n g   t h e   t w o ,   w e   c a n   p r o v i d e   a   w a y   t o   v a l i d a t e   o p t i o n a l   p a r a m e t e r s :   ! h a s ( p a r a m s . o p t i o n a l N u m b e r )   | |   ( p a r a m s . o p t i o n a l N u m b e r   > =   5   & &   p a r a m s . o p t i o n a l N u m b e r   < =   1 0 )   H e r e ,   w e   f i r s t   c h e c k   t h a t   t h e   o p t i o n a l   p a r a m e t e r   i s   p r e s e n t   w i t h   ! h a s ( p a r a m s . o p t i o n a l N u m b e r ) .   I f   o p t i o n a l N u m b e r   h a s n ’ t   b e e n   d e f i n e d ,   t h e n   t h e   e x p r e s s i o n   s h o r t - c i r c u i t s   s i n c e   ! h a s ( p a r a m s . o p t i o n a l N u m b e r )   w i l l   e v a l u a t e   t o   t r u e . I f   o p t i o n a l N u m b e r   h a s   b e e n   d e f i n e d ,   t h e n   t h e   l a t t e r   h a l f   o f   t h e   C E L   e x p r e s s i o n   w i l l   b e   e v a l u a t e d ,   a n d   o p t i o n a l N u m b e r   w i l l   b e   c h e c k e d   t o   e n s u r e   t h a t   i t   c o n t a i n s   a   v a l u e   b e t w e e n   5   a n d   1 0   i n c l u s i v e .


Question: What is Per-namespace Parameters?

Answer: A s   t h e   a u t h o r   o f   a   V a l i d a t i n g A d m i s s i o n P o l i c y   a n d   i t s   V a l i d a t i n g A d m i s s i o n P o l i c y B i n d i n g ,   y o u   c a n   c h o o s e   t o   s p e c i f y   c l u s t e r - w i d e ,   o r   p e r - n a m e s p a c e   p a r a m e t e r s .   I f   y o u   s p e c i f y   a   n a m e s p a c e   f o r   t h e   b i n d i n g ' s   p a r a m R e f ,   t h e   c o n t r o l   p l a n e   o n l y   s e a r c h e s   f o r   p a r a m e t e r s   i n   t h a t   n a m e s p a c e .   H o w e v e r ,   i f   n a m e s p a c e   i s   n o t   s p e c i f i e d   i n   t h e   V a l i d a t i n g A d m i s s i o n P o l i c y B i n d i n g ,   t h e   A P I   s e r v e r   c a n   s e a r c h   f o r   r e l e v a n t   p a r a m e t e r s   i n   t h e   n a m e s p a c e   t h a t   a   r e q u e s t   i s   a g a i n s t .   F o r   e x a m p l e ,   i f   y o u   m a k e   a   r e q u e s t   t o   m o d i f y   a   C o n f i g M a p   i n   t h e   d e f a u l t   n a m e s p a c e   a n d   t h e r e   i s   a   r e l e v a n t   V a l i d a t i n g A d m i s s i o n P o l i c y B i n d i n g   w i t h   n o   n a m e s p a c e   s e t ,   t h e n   t h e   A P I   s e r v e r   l o o k s   f o r   a   p a r a m e t e r   o b j e c t   i n   d e f a u l t .   T h i s   d e s i g n   e n a b l e s   p o l i c y   c o n f i g u r a t i o n   t h a t   d e p e n d s   o n   t h e   n a m e s p a c e   o f   t h e   r e s o u r c e   b e i n g   m a n i p u l a t e d ,   f o r   m o r e   f i n e - t u n e d   c o n t r o l .


Question: What is Parameter selector?

Answer: I n   a d d i t i o n   t o   s p e c i f y   a   p a r a m e t e r   i n   a   b i n d i n g   b y   n a m e ,   y o u   m a y   c h o o s e   i n s t e a d   t o   s p e c i f y   l a b e l   s e l e c t o r ,   s u c h   t h a t   a l l   r e s o u r c e s   o f   t h e   p o l i c y ' s   p a r a m K i n d ,   a n d   t h e   p a r a m ' s   n a m e s p a c e   ( i f   a p p l i c a b l e )   t h a t   m a t c h   t h e   l a b e l   s e l e c t o r   a r e   s e l e c t e d   f o r   e v a l u a t i o n .   S e e   s e l e c t o r   f o r   m o r e   i n f o r m a t i o n   o n   h o w   l a b e l   s e l e c t o r s   m a t c h   r e s o u r c e s .   I f   m u l t i p l e   p a r a m e t e r s   a r e   f o u n d   t o   m e e t   t h e   c o n d i t i o n ,   t h e   p o l i c y ' s   r u l e s   a r e   e v a l u a t e d   f o r   e a c h   p a r a m e t e r   f o u n d   a n d   t h e   r e s u l t s   w i l l   b e   A N D e d   t o g e t h e r .   I f   n a m e s p a c e   i s   p r o v i d e d ,   o n l y   o b j e c t s   o f   t h e   p a r a m K i n d   i n   t h e   p r o v i d e d   n a m e s p a c e   a r e   e l i g i b l e   f o r   s e l e c t i o n .   O t h e r w i s e ,   w h e n   n a m e s p a c e   i s   e m p t y   a n d   p a r a m K i n d   i s   n a m e s p a c e - s c o p e d ,   t h e   n a m e s p a c e   u s e d   i n   t h e   r e q u e s t   b e i n g   a d m i t t e d   w i l l   b e   u s e d .


Question: What is Authorization checks?

Answer: W e   i n t r o d u c e d   t h e   a u t h o r i z a t i o n   c h e c k   f o r   p a r a m e t e r   r e s o u r c e s .   U s e r   i s   e x p e c t e d   t o   h a v e   r e a d   a c c e s s   t o   t h e   r e s o u r c e s   r e f e r e n c e d   b y   p a r a m K i n d   i n   V a l i d a t i n g A d m i s s i o n P o l i c y   a n d   p a r a m R e f   i n   V a l i d a t i n g A d m i s s i o n P o l i c y B i n d i n g .   N o t e   t h a t   i f   a   r e s o u r c e   i n   p a r a m K i n d   f a i l s   r e s o l v i n g   v i a   t h e   r e s t m a p p e r ,   r e a d   a c c e s s   t o   a l l   r e s o u r c e s   o f   g r o u p s   i s   r e q u i r e d .


Question: What is paramRef?

Answer: T h e   p a r a m R e f   f i e l d   s p e c i f i e s   t h e   p a r a m e t e r   r e s o u r c e   u s e d   b y   t h e   p o l i c y .   I t   h a s   t h e   f o l l o w i n g   f i e l d s :   n a m e :   T h e   n a m e   o f   t h e   p a r a m e t e r   r e s o u r c e . n a m e s p a c e :   T h e   n a m e s p a c e   o f   t h e   p a r a m e t e r   r e s o u r c e . s e l e c t o r :   A   l a b e l   s e l e c t o r   t o   m a t c h   m u l t i p l e   p a r a m e t e r   r e s o u r c e s . p a r a m e t e r N o t F o u n d A c t i o n :   ( R e q u i r e d )   C o n t r o l s   t h e   b e h a v i o r   w h e n   t h e   s p e c i f i e d   p a r a m e t e r s   a r e   n o t   f o u n d . A l l o w e d   V a l u e s : A l l o w :   T h e   a b s e n c e   o f   m a t c h e d   p a r a m e t e r s   i s   t r e a t e d   a s   a   s u c c e s s f u l   v a l i d a t i o n   b y   t h e   b i n d i n g . D e n y :   T h e   a b s e n c e   o f   m a t c h e d   p a r a m e t e r s   i s   s u b j e c t   t o   t h e   f a i l u r e P o l i c y   o f   t h e   p o l i c y .   n a m e :   T h e   n a m e   o f   t h e   p a r a m e t e r   r e s o u r c e .   n a m e s p a c e :   T h e   n a m e s p a c e   o f   t h e   p a r a m e t e r   r e s o u r c e .   s e l e c t o r :   A   l a b e l   s e l e c t o r   t o   m a t c h   m u l t i p l e   p a r a m e t e r   r e s o u r c e s .   p a r a m e t e r N o t F o u n d A c t i o n :   ( R e q u i r e d )   C o n t r o l s   t h e   b e h a v i o r   w h e n   t h e   s p e c i f i e d   p a r a m e t e r s   a r e   n o t   f o u n d .   A l l o w e d   V a l u e s : A l l o w :   T h e   a b s e n c e   o f   m a t c h e d   p a r a m e t e r s   i s   t r e a t e d   a s   a   s u c c e s s f u l   v a l i d a t i o n   b y   t h e   b i n d i n g . D e n y :   T h e   a b s e n c e   o f   m a t c h e d   p a r a m e t e r s   i s   s u b j e c t   t o   t h e   f a i l u r e P o l i c y


Question: What is Note:?

Answer: T h e   p a r a m e t e r N o t F o u n d A c t i o n   f i e l d   i n   p a r a m R e f   i s   r e q u i r e d .   I t   s p e c i f i e s   t h e   a c t i o n   t o   t a k e   w h e n   n o   p a r a m e t e r s   a r e   f o u n d   m a t c h i n g   t h e   p a r a m R e f .   I f   n o t   s p e c i f i e d ,   t h e   p o l i c y   b i n d i n g   m a y   b e   c o n s i d e r e d   i n v a l i d   a n d   w i l l   b e   i g n o r e d   o r   c o u l d   l e a d   t o   u n e x p e c t e d   b e h a v i o r .   A l l o w :   I f   s e t   t o   A l l o w ,   a n d   n o   p a r a m e t e r s   a r e   f o u n d ,   t h e   b i n d i n g   t r e a t s   t h e   a b s e n c e   o f   p a r a m e t e r s   a s   a   s u c c e s s f u l   v a l i d a t i o n ,   a n d   t h e   p o l i c y   i s   c o n s i d e r e d   t o   h a v e   p a s s e d . D e n y :   I f   s e t   t o   D e n y ,   a n d   n o   p a r a m e t e r s   a r e   f o u n d ,   t h e   b i n d i n g   e n f o r c e s   t h e   f a i l u r e P o l i c y   o f   t h e   p o l i c y .   I f   t h e   f a i l u r e P o l i c y   i s   F a i l ,   t h e   r e q u e s t   i s   r e j e c t e d .   M a k e   s u r e   t o   s e t   p a r a m e t e r N o t F o u n d A c t i o n   a c c o r d i n g   t o   t h e   d e s i r e d   b e h a v i o r   w h e n   p a r a m e t e r s   a r e   m i s s i n g .


Question: What is Handling Missing Parameters with parameterNotFoundAction?

Answer: W h e n   u s i n g   p a r a m R e f   w i t h   a   s e l e c t o r ,   i t ' s   p o s s i b l e   t h a t   n o   p a r a m e t e r s   m a t c h   t h e   s e l e c t o r .   T h e   p a r a m e t e r N o t F o u n d A c t i o n   f i e l d   d e t e r m i n e s   h o w   t h e   b i n d i n g   b e h a v e s   i n   t h i s   s c e n a r i o .   E x a m p l e :   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1 a l p h a 1   k i n d :   V a l i d a t i n g A d m i s s i o n P o l i c y B i n d i n g   m e t a d a t a :   n a m e :   e x a m p l e - b i n d i n g   s p e c :   p o l i c y N a m e :   e x a m p l e - p o l i c y   p a r a m R e f :   s e l e c t o r :   m a t c h L a b e l s :   e n v i r o n m e n t :   t e s t   p a r a m e t e r N o t F o u n d A c t i o n :   A l l o w   v a l i d a t i o n A c t i o n s :   -   D e n y


Question: What is Failure Policy?

Answer: f a i l u r e P o l i c y   d e f i n e s   h o w   m i s - c o n f i g u r a t i o n s   a n d   C E L   e x p r e s s i o n s   e v a l u a t i n g   t o   e r r o r   f r o m   t h e   a d m i s s i o n   p o l i c y   a r e   h a n d l e d .   A l l o w e d   v a l u e s   a r e   I g n o r e   o r   F a i l .   I g n o r e   m e a n s   t h a t   a n   e r r o r   c a l l i n g   t h e   V a l i d a t i n g A d m i s s i o n P o l i c y   i s   i g n o r e d   a n d   t h e   A P I   r e q u e s t   i s   a l l o w e d   t o   c o n t i n u e . F a i l   m e a n s   t h a t   a n   e r r o r   c a l l i n g   t h e   V a l i d a t i n g A d m i s s i o n P o l i c y   c a u s e s   t h e   a d m i s s i o n   t o   f a i l   a n d   t h e   A P I   r e q u e s t   t o   b e   r e j e c t e d .   N o t e   t h a t   t h e   f a i l u r e P o l i c y   i s   d e f i n e d   i n s i d e   V a l i d a t i n g A d m i s s i o n P o l i c y :   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1   k i n d :   V a l i d a t i n g A d m i s s i o n P o l i c y   s p e c :   . . .   f a i l u r e P o l i c y :   I g n o r e   #   T h e   d e f a u l t   i s   " F a i l "   v a l i d a t i o n s :   -   e x p r e s s i o n :   " o b j e c t . s p e c . x y z   = =   p a r a m s . x "


Question: What is Validation Expression?

Answer: s p e c . v a l i d a t i o n s [ i ] . e x p r e s s i o n   r e p r e s e n t s   t h e   e x p r e s s i o n   w h i c h   w i l l   b e   e v a l u a t e d   b y   C E L .   T o   l e a r n   m o r e ,   s e e   t h e   C E L   l a n g u a g e   s p e c i f i c a t i o n   C E L   e x p r e s s i o n s   h a v e   a c c e s s   t o   t h e   c o n t e n t s   o f   t h e   A d m i s s i o n   r e q u e s t / r e s p o n s e ,   o r g a n i z e d   i n t o   C E L   v a r i a b l e s   a s   w e l l   a s   s o m e   o t h e r   u s e f u l   v a r i a b l e s :   ' o b j e c t '   -   T h e   o b j e c t   f r o m   t h e   i n c o m i n g   r e q u e s t .   T h e   v a l u e   i s   n u l l   f o r   D E L E T E   r e q u e s t s . ' o l d O b j e c t '   -   T h e   e x i s t i n g   o b j e c t .   T h e   v a l u e   i s   n u l l   f o r   C R E A T E   r e q u e s t s . ' r e q u e s t '   -   A t t r i b u t e s   o f   t h e   a d m i s s i o n   r e q u e s t . ' p a r a m s '   -   P a r a m e t e r   r e s o u r c e   r e f e r r e d   t o   b y   t h e   p o l i c y   b i n d i n g   b e i n g   e v a l u a t e d .   T h e   v a l u e   i s   n u l l   i f   P a r a m K i n d   i s   n o t   s p e c i f i e d . n a m e s p a c e O b j e c t   -   T h e   n a m e s p a c e ,   a s   a   K u b e r n e t e s   r e s o u r c e ,   t h a t   t h e   i n c o m i n g   o b j e c t   b e l o n g s   t o .   T h e   v a l u e   i s   n u l l   i f   t h e   i n c o m i n g   o b j e c t   i s   c l u s t e r - s c o p e d . a u t h o r i z e r   -   A   C E L   A u t h o r i z e r .   M a y   b e   u s e d   t o   p e r f o r m   a u t h o r i z a t i o n   c h e c k s   f o r   t h e   p r i n c i p a l   ( a u t h e n t i c a t e d   u s e r )   o f   t h e   r e q u e s t .   S e e   A u t h z S e l e c t o r s   a n d   A u t h z   i n   t h e   K u b e r n e t e s   C E L   l i b r a r y   d o c u m e n t a t i o n   f o r   m o r e   d e t a i l s . a


Question: What is Validation expression examples?

Answer: R e a d   S u p p o r t e d   e v a l u a t i o n   o n   C E L   f o r   m o r e   i n f o r m a t i o n   a b o u t   C E L   r u l e s .   s p e c . v a l i d a t i o n [ i ] . r e a s o n   r e p r e s e n t s   a   m a c h i n e - r e a d a b l e   d e s c r i p t i o n   o f   w h y   t h i s   v a l i d a t i o n   f a i l e d .   I f   t h i s   i s   t h e   f i r s t   v a l i d a t i o n   i n   t h e   l i s t   t o   f a i l ,   t h i s   r e a s o n ,   a s   w e l l   a s   t h e   c o r r e s p o n d i n g   H T T P   r e s p o n s e   c o d e ,   a r e   u s e d   i n   t h e   H T T P   r e s p o n s e   t o   t h e   c l i e n t .   T h e   c u r r e n t l y   s u p p o r t e d   r e a s o n s   a r e :   U n a u t h o r i z e d ,   F o r b i d d e n ,   I n v a l i d ,   R e q u e s t E n t i t y T o o L a r g e .   I f   n o t   s e t ,   S t a t u s R e a s o n I n v a l i d   i s   u s e d   i n   t h e   r e s p o n s e   t o   t h e   c l i e n t .


Question: What is Matching requests: matchConditions?

Answer: Y o u   c a n   d e f i n e   m a t c h   c o n d i t i o n s   f o r   a   V a l i d a t i n g A d m i s s i o n P o l i c y   i f   y o u   n e e d   f i n e - g r a i n e d   r e q u e s t   f i l t e r i n g .   T h e s e   c o n d i t i o n s   a r e   u s e f u l   i f   y o u   f i n d   t h a t   m a t c h   r u l e s ,   o b j e c t S e l e c t o r s   a n d   n a m e s p a c e S e l e c t o r s   s t i l l   d o e s n ' t   p r o v i d e   t h e   f i l t e r i n g   y o u   w a n t .   M a t c h   c o n d i t i o n s   a r e   C E L   e x p r e s s i o n s .   A l l   m a t c h   c o n d i t i o n s   m u s t   e v a l u a t e   t o   t r u e   f o r   t h e   r e s o u r c e   t o   b e   e v a l u a t e d .   H e r e   i s   a n   e x a m p l e   i l l u s t r a t i n g   a   f e w   d i f f e r e n t   u s e s   f o r   m a t c h   c o n d i t i o n s :   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1   k i n d :   V a l i d a t i n g A d m i s s i o n P o l i c y   m e t a d a t a :   n a m e :   " d e m o - p o l i c y . e x a m p l e . c o m "   s p e c :   f a i l u r e P o l i c y :   F a i l   m a t c h C o n s t r a i n t s :   r e s o u r c e R u l e s :   -   a p i G r o u p s :   [ " * " ]   a p i V e r s i o n s :   [ " * " ]   o p e r a t i o n s :   [ " C R E A T E " ,   " U P D A T E " ]   r e s o u r c e s :   [ " * " ]   m a t c h C o n d i t i o n s :   -   n a m e :   ' e x c l u d e - l e a s e s '   #   E a c h   m a t c h   c o n d i t i o n   m u s t   h a v e   a   u n i q u e   n a m e   e x p r e s s i o n :   ' ! ( r e q u e s t . r e s o u r c e . g r o u p   = =   " c o o r d i n a t i o n . k 8 s . i o "   & &   r e q u e s t . r e s o u r c e . r e s o u r c e   = =   " l e a s e s " ) '   #   M a t c h   n o n - l e a s e   r e s o u r c e s .   -   n a m e :   ' e x c l u d e - k u b e l e t - r e q u e s t s '   e x p r e s s i o n :   ' ! ( " s y s t e m : n o d e s "   i n   r e


Question: What is Audit annotations?

Answer: a u d i t A n n o t a t i o n s   m a y   b e   u s e d   t o   i n c l u d e   a u d i t   a n n o t a t i o n s   i n   t h e   a u d i t   e v e n t   o f   t h e   A P I   r e q u e s t .   F o r   e x a m p l e ,   h e r e   i s   a n   a d m i s s i o n   p o l i c y   w i t h   a n   a u d i t   a n n o t a t i o n :   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1   k i n d :   V a l i d a t i n g A d m i s s i o n P o l i c y   m e t a d a t a :   n a m e :   " d e m o - p o l i c y . e x a m p l e . c o m "   s p e c :   f a i l u r e P o l i c y :   F a i l   m a t c h C o n s t r a i n t s :   r e s o u r c e R u l e s :   -   a p i G r o u p s :   [ " a p p s " ]   a p i V e r s i o n s :   [ " v 1 " ]   o p e r a t i o n s :   [ " C R E A T E " ,   " U P D A T E " ]   r e s o u r c e s :   [ " d e p l o y m e n t s " ]   v a l i d a t i o n s :   -   e x p r e s s i o n :   " o b j e c t . s p e c . r e p l i c a s   >   5 0 "   m e s s a g e E x p r e s s i o n :   " ' D e p l o y m e n t   s p e c . r e p l i c a s   s e t   t o   '   +   s t r i n g ( o b j e c t . s p e c . r e p l i c a s ) "   a u d i t A n n o t a t i o n s :   -   k e y :   " h i g h - r e p l i c a - c o u n t "   v a l u e E x p r e s s i o n :   " ' D e p l o y m e n t   s p e c . r e p l i c a s   s e t   t o   '   +   s t r i n g ( o b j e c t . s p e c . r e p l i c a s ) "   W h e n   a n   A P I   r e q u e s t   i s   v a l i d a t e d   w i t h   t h i s   a d m i s s i o n   p o l i c y ,   t h e   r e s u l t i n g   a u d i t   e v e n t   w i l l   l o o k   l i k e :   #   t h e   a u d i t   e v e n t   r e c o r d e d   {   " k i n d " :   " E v e n t " ,   " a p i V e r s i o n " :   " a u d i t . k 8 s . i o / v 1 " ,   " a n n o t a t i o n s " :   {   " d e m o - p o l i c y . e x a m p l e . c o m / h i g h - r e p l i c a - c o u n t " :   " D e p l o y m e n t   s p e c . r e p l i c a s   s e t   t o   1 2 8 "   #


Question: What is Message expression?

Answer: T o   r e t u r n   a   m o r e   f r i e n d l y   m e s s a g e   w h e n   t h e   p o l i c y   r e j e c t s   a   r e q u e s t ,   w e   c a n   u s e   a   C E L   e x p r e s s i o n   t o   c o m p o s i t e   a   m e s s a g e   w i t h   s p e c . v a l i d a t i o n s [ i ] . m e s s a g e E x p r e s s i o n .   S i m i l a r   t o   t h e   v a l i d a t i o n   e x p r e s s i o n ,   a   m e s s a g e   e x p r e s s i o n   h a s   a c c e s s   t o   o b j e c t ,   o l d O b j e c t ,   r e q u e s t ,   p a r a m s ,   a n d   n a m e s p a c e O b j e c t .   U n l i k e   v a l i d a t i o n s ,   m e s s a g e   e x p r e s s i o n   m u s t   e v a l u a t e   t o   a   s t r i n g .   F o r   e x a m p l e ,   t o   b e t t e r   i n f o r m   t h e   u s e r   o f   t h e   r e a s o n   o f   d e n i a l   w h e n   t h e   p o l i c y   r e f e r s   t o   a   p a r a m e t e r ,   w e   c a n   h a v e   t h e   f o l l o w i n g   v a l i d a t i o n :   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1   k i n d :   V a l i d a t i n g A d m i s s i o n P o l i c y   m e t a d a t a :   n a m e :   " d e p l o y - r e p l i c a - p o l i c y . e x a m p l e . c o m "   s p e c :   p a r a m K i n d :   a p i V e r s i o n :   r u l e s . e x a m p l e . c o m / v 1   k i n d :   R e p l i c a L i m i t   m a t c h C o n s t r a i n t s :   r e s o u r c e R u l e s :   -   a p i G r o u p s :   [ " a p p s " ]   a p i V e r s i o n s :   [ " v 1 " ]   o p e r a t i o n s :   [ " C R E A T E " ,   " U P D A T E " ]   r e s o u r c e s :   [ " d e p l o y m e n t s " ]   v a l i d a t i o n s :   -   e x p r e s s i o n :   " o b j e c t . s p e c . r e p l i c a s   < =   p a r a m s . m a x R e p l i c a s "   m e s s a g e E x p r e s s i o n :   " ' o b j e c t . s p e c . r e p l i c a s   m u s t   b e   n o   g r e a t e r   t h a n   '   +   s t r i n g ( p a r a m s . m a x R e p l i c a s )


Question: What is Type checking?

Answer: W h e n   a   p o l i c y   d e f i n i t i o n   i s   c r e a t e d   o r   u p d a t e d ,   t h e   v a l i d a t i o n   p r o c e s s   p a r s e s   t h e   e x p r e s s i o n s   i t   c o n t a i n s   a n d   r e p o r t s   a n y   s y n t a x   e r r o r s ,   r e j e c t i n g   t h e   d e f i n i t i o n   i f   a n y   e r r o r s   a r e   f o u n d .   A f t e r w a r d ,   t h e   r e f e r r e d   v a r i a b l e s   a r e   c h e c k e d   f o r   t y p e   e r r o r s ,   i n c l u d i n g   m i s s i n g   f i e l d s   a n d   t y p e   c o n f u s i o n ,   a g a i n s t   t h e   m a t c h e d   t y p e s   o f   s p e c . m a t c h C o n s t r a i n t s .   T h e   r e s u l t   o f   t y p e   c h e c k i n g   c a n   b e   r e t r i e v e d   f r o m   s t a t u s . t y p e C h e c k i n g .   T h e   p r e s e n c e   o f   s t a t u s . t y p e C h e c k i n g   i n d i c a t e s   t h e   c o m p l e t i o n   o f   t y p e   c h e c k i n g ,   a n d   a n   e m p t y   s t a t u s . t y p e C h e c k i n g   m e a n s   t h a t   n o   e r r o r s   w e r e   d e t e c t e d .   F o r   e x a m p l e ,   g i v e n   t h e   f o l l o w i n g   p o l i c y   d e f i n i t i o n :   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1   k i n d :   V a l i d a t i n g A d m i s s i o n P o l i c y   m e t a d a t a :   n a m e :   " d e p l o y - r e p l i c a - p o l i c y . e x a m p l e . c o m "   s p e c :   m a t c h C o n s t r a i n t s :   r e s o u r c e R u l e s :   -   a p i G r o u p s :   [ " a p p s " ]   a p i V e r s i o n s :   [ " v 1 " ]   o p e r a t i o n s :   [ " C R E A T E " ,   " U P D A T E " ]   r e s o u r c e s :   [ " d e p l o y m e n t s " ]   v a l i d a t i o n s :   -   e x p r e s s i o n :   " o b j e c t . r e p l i c a s   >   1 "   #   s h o u l d   b e   " o b j e c t . s p e c . r e p l i c a s   >   1 "   m e s s a g e :   " m u s t   b e   r e p l i c a


Question: What is Variable composition?

Answer: I f   a n   e x p r e s s i o n   g r o w s   t o o   c o m p l i c a t e d ,   o r   p a r t   o f   t h e   e x p r e s s i o n   i s   r e u s a b l e   a n d   c o m p u t a t i o n a l l y   e x p e n s i v e   t o   e v a l u a t e ,   y o u   c a n   e x t r a c t   s o m e   p a r t   o f   t h e   e x p r e s s i o n s   i n t o   v a r i a b l e s .   A   v a r i a b l e   i s   a   n a m e d   e x p r e s s i o n   t h a t   c a n   b e   r e f e r r e d   l a t e r   i n   v a r i a b l e s   i n   o t h e r   e x p r e s s i o n s .   s p e c :   v a r i a b l e s :   -   n a m e :   f o o   e x p r e s s i o n :   " ' f o o '   i n   o b j e c t . s p e c . m e t a d a t a . l a b e l s   ?   o b j e c t . s p e c . m e t a d a t a . l a b e l s [ ' f o o ' ]   :   ' d e f a u l t ' "   v a l i d a t i o n s :   -   e x p r e s s i o n :   v a r i a b l e s . f o o   = =   ' b a r '   A   v a r i a b l e   i s   l a z i l y   e v a l u a t e d   w h e n   i t   i s   f i r s t   r e f e r r e d .   A n y   e r r o r   t h a t   o c c u r s   d u r i n g   t h e   e v a l u a t i o n   w i l l   b e   r e p o r t e d   d u r i n g   t h e   e v a l u a t i o n   o f   t h e   r e f e r r i n g   e x p r e s s i o n .   B o t h   t h e   r e s u l t   a n d   p o t e n t i a l   e r r o r   a r e   m e m o r i z e d   a n d   c o u n t   o n l y   o n c e   t o w a r d s   t h e   r u n t i m e   c o s t .   T h e   o r d e r   o f   v a r i a b l e s   a r e   i m p o r t a n t   b e c a u s e   a   v a r i a b l e   c a n   r e f e r   t o   o t h e r   v a r i a b l e s   t h a t   a r e   d e f i n e d   b e f o r e   i t .   T h i s   o r d e r i n g   p r e v e n t s   c i r c u l a r   r e f e r e n c e s .   T h e   f o l l o w i n g   i s   a   m o r e   c o m p l e x   e x a m p l e   o f   e n f o r c i n g   t h a t   i m a g e   r e p o   n a m e s   m a t c h   t h e   e n v i r o n m e n t   d e f i n e d   i n   i t s   n a m e s p a c e


Question: What is API kinds exempt from admission validation?

Answer: T h e r e   a r e   c e r t a i n   A P I   k i n d s   t h a t   a r e   e x e m p t   f r o m   a d m i s s i o n - t i m e   v a l i d a t i o n   c h e c k s .   F o r   e x a m p l e ,   y o u   c a n ' t   c r e a t e   a   V a l i d a t i n g A d m i s s i o n P o l i c y   t h a t   p r e v e n t s   c h a n g e s   t o   V a l i d a t i n g A d m i s s i o n P o l i c y B i n d i n g s .   T h e   l i s t   o f   e x e m p t   A P I   k i n d s   i s :   V a l i d a t i n g A d m i s s i o n P o l i c i e s V a l i d a t i n g A d m i s s i o n P o l i c y B i n d i n g s M u t a t i n g A d m i s s i o n P o l i c i e s M u t a t i n g A d m i s s i o n P o l i c y B i n d i n g s T o k e n R e v i e w s L o c a l S u b j e c t A c c e s s R e v i e w s S e l f S u b j e c t A c c e s s R e v i e w s S e l f S u b j e c t R e v i e w s


Question: What is 4 - Well-Known Labels, Annotations and Taints?

Answer: K u b e r n e t e s   r e s e r v e s   a l l   l a b e l s ,   a n n o t a t i o n s   a n d   t a i n t s   i n   t h e   k u b e r n e t e s . i o   a n d   k 8 s . i o   n a m e s p a c e s .   T h i s   d o c u m e n t   s e r v e s   b o t h   a s   a   r e f e r e n c e   t o   t h e   v a l u e s   a n d   a s   a   c o o r d i n a t i o n   p o i n t   f o r   a s s i g n i n g   v a l u e s .


Question: What is apf.kubernetes.io/autoupdate-spec?

Answer: T y p e :   A n n o t a t i o n   E x a m p l e :   a p f . k u b e r n e t e s . i o / a u t o u p d a t e - s p e c :   " t r u e "   U s e d   o n :   F l o w S c h e m a   a n d   P r i o r i t y L e v e l C o n f i g u r a t i o n   O b j e c t s   I f   t h i s   a n n o t a t i o n   i s   s e t   t o   t r u e   o n   a   F l o w S c h e m a   o r   P r i o r i t y L e v e l C o n f i g u r a t i o n ,   t h e   s p e c   f o r   t h a t   o b j e c t   i s   m a n a g e d   b y   t h e   k u b e - a p i s e r v e r .   I f   t h e   A P I   s e r v e r   d o e s   n o t   r e c o g n i z e   a n   A P F   o b j e c t ,   a n d   y o u   a n n o t a t e   i t   f o r   a u t o m a t i c   u p d a t e ,   t h e   A P I   s e r v e r   d e l e t e s   t h e   e n t i r e   o b j e c t .   O t h e r w i s e ,   t h e   A P I   s e r v e r   d o e s   n o t   m a n a g e   t h e   o b j e c t   s p e c .   F o r   m o r e   d e t a i l s ,   r e a d   M a i n t e n a n c e   o f   t h e   M a n d a t o r y   a n d   S u g g e s t e d   C o n f i g u r a t i o n   O b j e c t s .


Question: What is app.kubernetes.io/component?

Answer: T y p e :   L a b e l   E x a m p l e :   a p p . k u b e r n e t e s . i o / c o m p o n e n t :   " d a t a b a s e "   U s e d   o n :   A l l   O b j e c t s   ( t y p i c a l l y   u s e d   o n   w o r k l o a d   r e s o u r c e s ) .   T h e   c o m p o n e n t   w i t h i n   t h e   a p p l i c a t i o n   a r c h i t e c t u r e .   O n e   o f   t h e   r e c o m m e n d e d   l a b e l s .


Question: What is app.kubernetes.io/created-by (deprecated)?

Answer: T y p e :   L a b e l   E x a m p l e :   a p p . k u b e r n e t e s . i o / c r e a t e d - b y :   " c o n t r o l l e r - m a n a g e r "   U s e d   o n :   A l l   O b j e c t s   ( t y p i c a l l y   u s e d   o n   w o r k l o a d   r e s o u r c e s ) .   T h e   c o n t r o l l e r / u s e r   w h o   c r e a t e d   t h i s   r e s o u r c e .


Question: What is app.kubernetes.io/instance?

Answer: T y p e :   L a b e l   E x a m p l e :   a p p . k u b e r n e t e s . i o / i n s t a n c e :   " m y s q l - a b c x y z "   U s e d   o n :   A l l   O b j e c t s   ( t y p i c a l l y   u s e d   o n   w o r k l o a d   r e s o u r c e s ) .   A   u n i q u e   n a m e   i d e n t i f y i n g   t h e   i n s t a n c e   o f   a n   a p p l i c a t i o n .   T o   a s s i g n   a   n o n - u n i q u e   n a m e ,   u s e   a p p . k u b e r n e t e s . i o / n a m e .   O n e   o f   t h e   r e c o m m e n d e d   l a b e l s .


Question: What is app.kubernetes.io/managed-by?

Answer: T y p e :   L a b e l   E x a m p l e :   a p p . k u b e r n e t e s . i o / m a n a g e d - b y :   " h e l m "   U s e d   o n :   A l l   O b j e c t s   ( t y p i c a l l y   u s e d   o n   w o r k l o a d   r e s o u r c e s ) .   T h e   t o o l   b e i n g   u s e d   t o   m a n a g e   t h e   o p e r a t i o n   o f   a n   a p p l i c a t i o n .   O n e   o f   t h e   r e c o m m e n d e d   l a b e l s .


Question: What is app.kubernetes.io/name?

Answer: T y p e :   L a b e l   E x a m p l e :   a p p . k u b e r n e t e s . i o / n a m e :   " m y s q l "   U s e d   o n :   A l l   O b j e c t s   ( t y p i c a l l y   u s e d   o n   w o r k l o a d   r e s o u r c e s ) .   T h e   n a m e   o f   t h e   a p p l i c a t i o n .   O n e   o f   t h e   r e c o m m e n d e d   l a b e l s .


Question: What is app.kubernetes.io/part-of?

Answer: T y p e :   L a b e l   E x a m p l e :   a p p . k u b e r n e t e s . i o / p a r t - o f :   " w o r d p r e s s "   U s e d   o n :   A l l   O b j e c t s   ( t y p i c a l l y   u s e d   o n   w o r k l o a d   r e s o u r c e s ) .   T h e   n a m e   o f   a   h i g h e r - l e v e l   a p p l i c a t i o n   t h i s   o b j e c t   i s   p a r t   o f .   O n e   o f   t h e   r e c o m m e n d e d   l a b e l s .


Question: What is app.kubernetes.io/version?

Answer: T y p e :   L a b e l   E x a m p l e :   a p p . k u b e r n e t e s . i o / v e r s i o n :   " 5 . 7 . 2 1 "   U s e d   o n :   A l l   O b j e c t s   ( t y p i c a l l y   u s e d   o n   w o r k l o a d   r e s o u r c e s ) .   T h e   c u r r e n t   v e r s i o n   o f   t h e   a p p l i c a t i o n .   C o m m o n   f o r m s   o f   v a l u e s   i n c l u d e :   s e m a n t i c   v e r s i o n t h e   G i t   r e v i s i o n   h a s h   f o r   t h e   s o u r c e   c o d e .   O n e   o f   t h e   r e c o m m e n d e d   l a b e l s .