Kubernetes v1.30 - Безопасность и нововведения - Алексей Федулаев

Сегодня в выпуске - Георг Гаал и Алексей Федулаев обсуждают версию Kubernetes v1.30 его Безопасность и нововведения + поднятые темы:

Improved Handling of Secret Images in Container Runtime. Повторная аутентификация при связке imagePullPolicy: IfNotPresent и imagePullSecrets
Reduction of Secret-Based Service Account Tokens. При создании нового Service Account, токен и его секрет не будут генерироваться автоматически
Bound Service Account Token Improvements. Теперь к Service Account, которые привязаны к конкретным Pod будут добавляться JWT ID (JTI).
Prevent Unauthorized Volume Mode Conversion During Volume Restore. Предотвращение несанкционированного доступа, когда PVC восстанавливается из VolumeSnapshot.
Speed Up Recursive SELinux Label Change. Ускорение времени запуска контейнеров за счет оптимизации процесса изменения лейблов SELinux.
Kubelet Support for Image Filesystem Split. Разделение FS контейнера на слои – writable и read-only.
Support User Namespaces.
Поддержка пользовательских пространств имен
Admission Webhook Match Conditions
Добавление условий выполнения хуков
Recursive read-only (RRO) mounts
рекурсивные read-only монтирования
Cкалирование по метрикам контейнеров, а не подов (HPA)
API Server Tracing
Поддержка swap
Cтруктурированные параметры для динамической аллокации ресурсов

Прямая трансляция с ответами на вопросы из чата YouTube

При поддержке:
@kubernetes_ru
@itstand_org
@devopsforlove

Georg Gaal @gecube и Aleksey Fedulaev @int0x80h

⏰ ТАЙМКОДЫ:
00:00 - Вступление. Тема выпуска
00:36 - Представляем гостей нашего стрима
2:06 - Что будет сегодня на стриме. Стал ли безопасный Kuber полностью?
3:32 - Что интересного принесла версия 1.30? Повторная аутентификация
7:23 - Про создания нового Service Account
12:40 - Поддержка пользовательских пространств имен
17:30 - Что значит сбежать их контейнера?
18:34 - Предотвращение несанкционированного доступа
23:48 - Рекрусивные read-only монтирования
27:16 - Добавление условий выполнения хуков
32:01 - Разделение FS контейнера на слои
34:20 - Вопрос про разделение файловой системы
37:04 - Ускорение времени запуска контейнеров
38:36 - Вопрос по поводу engine policy
40:17 - Добавление новой ручки в kubelet
43:56 - Talos linux
46:15 - Скалирование по метрикам контейнеров
47:41 - API Server Tracing, улучшения по метрикам, поддержка swap
51:44 - Структурированные параметры для динамической аллокации ресурсов. AppArmor support
56:05 - Какое лучшее решение для интеграции vault и k8s?
57:10 - Чем опасны дефолтные настройки fsGroup?
59:45 - Нужно ли обновляться до 1.30?
1:03:54 - Подводим итоги

#FIDELINA #Kubernetes #Kuber #ITSTAND