(EN)Kubernetesドキュメントコンセプトストレージ投影ボリューム投影ボリュームこのドキュメントでは、Kubernetesの投影ボリュームについて説明します。ボリュームに精通していることをお勧めします。概要ボリュームは、いくつかの既存の投影ボリュームソースを同じディレクトリにマップします。現在、次のタイプのボリュームソースを投影できます。secretdownwardAPIconfigMapserviceAccountTokenすべてのソースは、Podと同じnamespaceにある必要があります。volumeデザインドキュメントを参照してください。511各投影ボリュームソースは、specのsourcesにリストされています。パラメーターは、2つの例外を除いてほぼ同じです。secretについて、ConfigMapの命名と一致するようにsecretNameフィールドがnameに変更されました。defaultModeはprojectedレベルでのみ指定でき、各ボリュームソースには指定できません。上に示したように、個々の投影ごとにmodeを明示的に設定できます。TokenRequestProjection機能が有効になっている場合、現在のサービスアカウントトークンを指定されたパスのPodに挿入できます。tokenこの例のPodには、挿入されたサービスアカウントトークンを含む投影ボリュームがあります。APIサーバーにアクセスするために使用できます。このaudienceフィールドにはトークンの受信対象者が含まれています。トークンの受信者は、トークンのaudienceフィールドで指定された識別子で自分自身であるかを識別します。ない場合はトークンを拒否します。このフィールドはオプションで、デフォルトではAPIサーバーの識別子が指定されます。expirationSecondsはサービスアカウントトークンが有効であると予想される期間です。デフォルトは1時間で、最低でも10分(600秒)でなければなりません。管理者は、APIサーバーに--service-account-max-token-expirationオプションを指定することで、その最大値を制限することも可能です。pathフィールドは、投影ボリュームのマウントポイントへの相対パスを指定します。投影ボリュームソースをsubPathボリュームマウントとして使用しているコンテナは、それらのボリュームソースの更新を受信しません。SecurityContextの相互作用サービスアカウントの投影ボリューム拡張でのファイル権限処理の提案により、正しい所有者権限が設定された投影ファイルが導入されました。Podでは、投影されたファイルには、コンテナユーザーの所有権を含む正しい所有権が設定されます。Podでは、Windowsのユーザーアカウント管理方法により所有権が強制されません。Windowsは、ローカルユーザーとグループアカウントをセキュリティアカウントマネージャー(SAM)と呼ばれるデータベースファイルに保存し、管理します。各コンテナはSAMデータベースの独自のインスタンスを維持し、コンテナの実行中はホストはそのインスタンスを見ることができません。Windowsコンテナは、OSのユーザーモード部分をホストから分離して実行するように設計されており、そのため仮想SAMデータベースを維持することになります。そのため、ホスト上で動作するkubeletには、仮想化されたコンテナアカウントのホストファイル所有権を動的に設定する機能がありません。ホストマシン上のファイルをコンテナと共有する場合は、C:\以外の独自のボリュームマウントに配置することをお勧めします。デフォルトでは、投影ボリュームファイルの例に示されているように、投影されたファイルには次の所有権があります。O:BAG:SYD:AI(A;ID;FA;;;SY)(A;ID;FA;;;BA)(A;ID;0x1200a9;;;BU)これは、ContainerAdministratorのようなすべての管理者ユーザーが読み取り、書き込み、および実行アクセス権を持ち、非管理者ユーザーが読み取りおよび実行アクセス権を持つことを意味します。備考:一般に、コンテナにホストへのアクセスを許可することは、潜在的なセキュリティの悪用への扉を開く可能性があるため、お勧めできません。PodのSecurityContextにRunAsUserを指定して作成すると、PodはContainerCreatingで永久に固まります。PodでLinux専用のRunAsUserオプションを使用しないことをお勧めします。京ICP备17074266号-3。