当执行kubectl exec时，你真的进入容器了吗？深度解析容器访问原理
内容提要
kubectl exec命令用于容器调试，实际上是创建新的bash进程，保持进程空间独立但共享某些namespace。使用时需注意权限和安全风险，频繁重启的容器可用kubectl debug替代。
关键要点
-
kubectl exec命令用于容器调试，实际上是创建新的bash进程。
-
kubectl exec创建的是一个新的bash进程，而不是进入已有的进程空间。
-
新进程与目标容器共享相同的namespace隔离环境。
-
这个新进程与容器主进程是相互独立的。
-
在Kubernetes中，容器间的namespace共享包括网络、IPC和UTS namespace，但PID和Mount namespace是独立的。
-
虽然Pod内容器共享某些namespace，但每个容器仍然保持其进程空间的独立性。
-
kubectl发送exec请求到API Server，API Server验证请求合法性，kubelet接收并处理请求。
-
container runtime在目标容器的namespace环境中创建新进程，并建立标准输入输出流的双向通道。
-
使用kubectl exec时需注意权限控制，建议在生产环境中严格控制exec权限。
-
过度的exec权限可能导致安全隐患。
-
当容器频繁重启时，无法使用exec命令，可以使用kubectl debug替代。
延伸问答
kubectl exec命令的主要功能是什么？
kubectl exec命令用于容器调试，实际上是创建新的bash进程。
执行kubectl exec时，是否真正进入了容器？
执行kubectl exec时，并没有真正进入容器，而是创建了一个新的bash进程。
kubectl exec命令如何处理请求？
kubectl发送exec请求到API Server，API Server验证请求合法性后，kubelet接收并处理请求。
在Kubernetes中，容器之间的namespace共享有哪些规则？
容器间共享Network、IPC和UTS namespace，但PID和Mount namespace是独立的。
使用kubectl exec时需要注意哪些安全风险？
使用kubectl exec时需注意权限控制，过度的exec权限可能导致安全隐患。
当容器频繁重启时，如何替代使用kubectl exec？
可以使用kubectl debug命令替代，例如：kubectl debug <pod> -it --image=busybox。
