Три состояния для доступа endpoints в k8s 1.31

В Kubernetes анонимная аутентификация включена по умолчанию с помощью логического флага --anonymous-auth = true (по-дефолту), т е можно либо всем разрешить или всем запретитть доступ к endpoints.

В версии k8s 1.31 добавили механизм, который позволяет пользователям настраивать, к каким эндпоинтам возможен анонимный доступ, остальные будут запрещены.

anonymous-auth имеет три состояния:

Отключено. Аутентификация не проходит для любых анонимных запросов:

apiVersion: apiserver.config.k8s.io/v1alpha1
kind: AuthenticationConfiguration
anonymous:
  enabled: false

Включено. Аутентификация проходит успешно для анонимных запросов:

apiVersion: apiserver.config.k8s.io/v1alpha1
kind: AuthenticationConfiguration
anonymous:
  enabled: true

Включено для некоторых эндпоинтов. Аутентификация анонимных запросов проходит только для определённых конечных точек:

apiVersion: apiserver.config.k8s.io/v1alpha1
kind: AuthenticationConfiguration
anonymous:
  enabled: true
  conditions:
  - path: "/healthz"
  - path: "/readyz"
  - path: "/livez"

PS Пути чувствительны к регистру.

Ссылка на таску
Ссылка на keps

#k8s #k8s_1_31

🔥IT STAND | FIDELINA.RU | Бот

Resource Health Status для Pod Status для устройств.

В K8S 1.31 добавили новое поле resourceHealth в секцию status спецификации пода.

Оно содержит информацию о здоровье используемых подом ресурсов.
resourceHealth может принимать значения: Healthy, Unhealthy или Unknown.

Пример использования с GPU:
- Пользователь запросил Pod с GPU device (графическим процессором)
- Если вдруг GPU device не доступен, пользователь увидит Pod в статусе crash loop backoff
- Проверить Pod Status можно командой kubectl describe pod
- В статусе видно что GPU device is not healthy
-Пользователь или контроллер удаляет модуль, а replicaset перепланирует его на другой доступный GPU.

PS: статус подтягивается медленне или потерятся, если установлен restartPolicy=Never

Ссылка на таску
Ссылка на keps

#k8s #k8s_1_31

🔥IT STAND | FIDELINA.RU | Бот