需解决的问题:

容器启动的时候,我们希望通过容器以外传入一些参数、配置、初始化数据;
容器重启的时候,我们希望能保存运行中的一些数据;

解决方案:

为容器添加挂载存储卷。

随之带来的问题:

某些时候,我们可能需要针对不同的容器,挂载一个存储卷的不同子目录,以达到控制权限等目的。比如将用户数据放在一个NFS文件系统上,不同的用户区分不同的子目录。
如果每个用户的容器,都直接挂载了整个NFS,同时又不能封禁容器的外网访问,那么这样是不安全的,如果被反弹Shell之后,会存在安全隐患。
我们可以通过subPath来解决这个问题。

以NFS类型的Volume为例,我们nas的目录放在所有的文件,而我们只想把nas下的某个文件,挂载到pod中,其它的路径全部让pod不可见。

apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: pic
  namespace: platform
spec:
  replicas: 1
  selector:
    matchLabels:
      app: pic
  template:
    metadata:
      labels:
        app: pic
    spec:
      containers:
      - name: pic
        image: registry.cn-shanghai.aliyuncs.com/xxxxx
        imagePullPolicy: Always
        resources:
          limits:
            memory: 2Gi
        ports:
        - containerPort: 20341
        volumeMounts:
          - name: pvc-nas-platform                # 1.1 引用定义的volume。
            mountPath: "/home/picserver/seal"    # 1.2 pod的中的路径
            subPath: seal                        # 1.3 子路径 (这路基代表存储卷下面的seal子目录)    
      volumes:
        - name: pvc-nas-platform        # 定义的volume的名称, 在volumeMounts中同名使用
          persistentVolumeClaim:
            claimName: pvc-nas-platform    # 存储卷名称,这里直接饮用
      imagePullSecrets:
        - name: ms-secret                # 拉镜像的秘钥

 

Logo

K8S/Kubernetes社区为您提供最前沿的新闻资讯和知识内容

更多推荐