Kubernetes Blog
·
SELinux卷标签更改正式发布（以及在v1.37中的可能影响）
内容提要
Kubernetes v1.37预计将默认启用SELinuxMount功能，以提升卷设置速度，但可能影响依赖旧模型的应用。v1.36适合审计集群并调整设置。新特性允许直接挂载卷，避免递归重标，需满足特定条件。管理员可通过新控制器监控卷冲突，确保安全性。
关键要点
-
Kubernetes v1.37预计将默认启用SELinuxMount功能，以提高卷设置速度。
-
此功能可能会影响依赖旧模型的应用，特别是在同一节点上共享卷的特权和非特权Pod。
-
Kubernetes v1.36适合审计集群并调整设置，以应对即将到来的变化。
-
新特性允许直接挂载卷，避免递归重标，需满足特定条件，如操作系统支持SELinux和Pod使用PersistentVolumeClaim。
-
管理员可以通过新控制器监控卷冲突，确保安全性，并发出警告事件。
-
Kubernetes v1.36提供了新的Pod字段spec.securityContext.seLinuxChangePolicy，允许选择SELinux标签的应用方式。
延伸解读
SELinuxMount功能的影响
Kubernetes v1.37将默认启用SELinuxMount功能，这将加快卷的设置速度。然而，这一变化可能会影响依赖旧模型的应用，特别是在同一节点上共享卷的特权和非特权Pod。因此，管理员需要提前审计集群，确保应用能够适应这一变化。
新控制器的安全性监控
Kubernetes v1.36引入了新的selinux-warning-controller，能够监控共享卷的Pod之间的SELinux标签冲突。这一控制器会发出警告事件，帮助管理员及时发现潜在的安全问题，确保集群的安全性。
升级路径的建议
为了顺利从Kubernetes v1.36升级到启用SELinuxMount的版本，建议管理员使用MutatingAdmissionPolicy或策略引擎来自动应用SELinuxChangePolicy。这将有助于避免因SELinux标签冲突导致的Pod启动失败，确保集群的稳定性。
延伸问答
Kubernetes v1.37中SELinuxMount功能的主要作用是什么？
SELinuxMount功能主要用于提高卷设置速度，允许直接挂载卷，避免递归重标。
Kubernetes v1.36如何帮助管理员应对即将到来的变化？
Kubernetes v1.36适合审计集群并调整设置，以应对即将启用的SELinuxMount功能。
启用SELinuxMount功能可能对应用造成什么影响？
启用SELinuxMount功能可能会影响依赖旧模型的应用，尤其是共享卷的特权和非特权Pod。
如何确保卷的安全性和避免冲突？
管理员可以通过新控制器监控卷冲突，并发出警告事件，以确保卷的安全性。
Kubernetes v1.36中新增的spec.securityContext.seLinuxChangePolicy字段有什么作用？
该字段允许选择SELinux标签的应用方式，提供递归和直接挂载两种选择。
在Kubernetes中，如何满足直接挂载卷的条件？
必须满足操作系统支持SELinux、启用SELinuxMountReadWriteOncePod特性、Pod使用PersistentVolumeClaim等条件。
