Kubernetes Blog
·
Kubernetes v1.33：你一直认为它工作的方式的镜像拉取策略！
内容提要
Kubernetes v1.33 解决了长期存在的 imagePullPolicy 安全问题，确保使用私有镜像的 Pod 必须提供有效凭证，防止未授权访问。此更新提升了安全性和稳定性，允许相同凭证的 Pod 无需重新认证。未来版本将进一步优化性能和支持凭证过期管理。
关键要点
-
Kubernetes v1.33 解决了 imagePullPolicy 的安全问题，确保使用私有镜像的 Pod 必须提供有效凭证。
-
更新提升了安全性和稳定性，允许相同凭证的 Pod 无需重新认证。
-
imagePullPolicy: IfNotPresent 策略存在安全隐患，允许未授权的 Pod 访问私有镜像。
-
Kubernetes v1.33 改进了 Kubelet 的行为，验证 Pod 的凭证后才允许使用镜像。
-
imagePullPolicy: Never 选项要求 Pod 提供凭证以使用已存在的私有镜像。
-
imagePullPolicy: Always 每次请求镜像时都会进行身份验证，确保安全性。
-
新特性基于持久的文件缓存，记录成功拉取镜像的凭证信息。
-
未来版本将优化性能，支持凭证过期管理，并与投影服务账户令牌协同工作。
-
用户可以通过启用 KubeletEnsureSecretPulledImages 功能门控来试用此特性。
延伸问答
Kubernetes v1.33 解决了什么安全问题？
Kubernetes v1.33 解决了 imagePullPolicy 的安全问题，确保使用私有镜像的 Pod 必须提供有效凭证，防止未授权访问。
imagePullPolicy: IfNotPresent 策略的安全隐患是什么？
IfNotPresent 策略允许未授权的 Pod 访问已存在的私有镜像，存在安全隐患。
Kubernetes v1.33 如何验证 Pod 的凭证？
在 Kubernetes v1.33 中，Kubelet 会在 Pod 使用镜像之前验证其凭证，确保只有授权的 Pod 能使用私有镜像。
imagePullPolicy: Always 策略的工作原理是什么？
Always 策略每次请求镜像时都会进行身份验证，确保 Pod 在使用镜像时提供有效凭证。
Kubernetes v1.33 的新特性如何提升性能？
新特性允许相同凭证的 Pod 无需重新认证，从而提升了性能和服务稳定性。
未来版本的 Kubernetes 将如何改进凭证管理？
未来版本将支持凭证过期管理，并与投影服务账户令牌协同工作，进一步优化性能。
