Pod CREATE의 PSA 검사

Pod CREATE의 PSA 검사 A sequence diagram generated by Archify. Pod 생성 요청 내부 정책 평가 네임스페이스 레이블 확인 enforce=restricted, audit=restricted PSA 검사 통과 Pod 저장 다른 admission 검증도 성공한 경우 201 Created 저장까지 성공한 경우만201 거부 (enforce 모드) 403 Forbidden Admission 검증 Pod가 정책 준수 Pod가 정책 위반 (enforce 모드) 사용자/컨트롤러 · Pod CREATE · Sequence participant 사용자/컨트롤러 Pod CREATE API Server · kube-apiserver · Sequence participant API Server kube-apiserver PSA 내부 단계 · Inside kube-apiserver · Sequence participant PSA 내부 단계 Inside kube-apiserver Namespace Labels · pod-security.kubernetes.io/* · Sequence participant Namespace Labels pod-security.kubernetes.io/* etcd · 클러스터 상태 저장소 · Sequence participant etcd 클러스터 상태 저장소 Legend 핵심 호출 응답 보안 호출 일반 호출

그림의 전제

  • • Pod CREATE; Deployment 요청과 구분
  • • 인증·인가·다른 admission 검증 성공을 가정
  • • PSA는 kube-apiserver 내부 기능