需解决的问题:

容器启动的时候,我们希望通过容器以外传入一些参数、配置、初始化数据;

容器重启的时候,我们希望能保存运行中的一些数据;

解决方案:

为容器添加挂载存储卷。

随之带来的问题:

某些时候,我们可能需要针对不同的容器,挂载一个存储卷的不同子目录,以达到控制权限等目的。比如将用户数据放在一个NFS文件系统上,不同的用户区分不同的子目录。

如果每个用户的容器,都直接挂载了整个NFS,同时又不能封禁容器的外网访问,那么这样是不安全的,如果被反弹Shell之后,会存在安全隐患。

我们可以通过subPath来解决这个问题。

以NFS类型的Volume为例,我们nas的目录放在所有的文件,而我们只想把nas下的某个文件,挂载到pod中,其它的路径全部让pod不可见。

apiVersion: extensions/v1beta1

kind: Deployment

metadata:

name: pic

namespace: platform

spec:

replicas: 1

selector:

matchLabels:

app: pic

template:

metadata:

labels:

app: pic

spec:

containers:

- name: pic

image: registry.cn-shanghai.aliyuncs.com/xxxxx

imagePullPolicy: Always

resources:

limits:

memory: 2Gi

ports:

- containerPort: 20341

volumeMounts:

- name: pvc-nas-platform                # 1.1 引用定义的volume。

mountPath: "/home/picserver/seal"    # 1.2 pod的中的路径

subPath: seal                        # 1.3 子路径 (这路基代表存储卷下面的seal子目录)

volumes:

- name: pvc-nas-platform        # 定义的volume的名称, 在volumeMounts中同名使用

persistentVolumeClaim:

claimName: pvc-nas-platform    # 存储卷名称,这里直接饮用

imagePullSecrets:

- name: ms-secret                # 拉镜像的秘钥

Logo

K8S/Kubernetes社区为您提供最前沿的新闻资讯和知识内容

更多推荐