为什么我的 Openldap 容器由于 pod 安全策略而不断崩溃答案

【问题标题】：why does my Openldap container keeps crashing due to pod security policy为什么我的 Openldap 容器由于 pod 安全策略而不断崩溃
【发布时间】：2021-09-17 06:29:36
【问题描述】：

我已经在 GKE 上成功创建了 PodSecurityPolicy、CluserRole 和 ClusterRoleBinding。我现在正在尝试使用来自here 的 OpenLDap。在 k8s 集群上没有安装我的 PodSecurityPolicy 时，这个 OpenLDap 的 helm 安装工作正常。

但是，当我安装 PSP 并尝试安装 OpenLDap 时，容器仍处于 CrashLoopBackOff 状态。

我知道 openldap 需要连接到 ldapPort: 和 389 sslLdapPort: 636，我知道这些是特权端口。我已经尝试将 psp yaml 中的特权设置更改为 true，但没有成功。

PodSecurityPolicy yaml

apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
  name: test-psp
spec:
  privileged: false
  allowPrivilegeEscalation: false
  defaultAllowPrivilegeEscalation: false
  allowedCapabilities:
  - NET_ADMIN
  - NET_RAW
  defaultAddCapabilities: []
  requiredDropCapabilities:
  - ALL
  hostPID: false
  hostIPC: false
  hostNetwork: false
#  requiredDropCapabilities: false
  seLinux:
    rule: RunAsAny
  supplementalGroups:
    rule: RunAsAny
  runAsUser:
    rule: RunAsAny
  fsGroup:
    rule: RunAsAny
  volumes:
  - '*'

集群角色

kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: test-cluster-role
rules:
- apiGroups:
  - policy
  resources:
  - podsecuritypolicies
  verbs:
  - use
  resourceNames:
  - test-psp

ClusterRoleBinding

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: test-role-binding
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: test-cluster-role
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: system:serviceaccounts

当我在 openldap pod 上进行描述时，我得到 后退重新启动失败的容器我可能做错了什么，那就是停止 openldap 运行。

【问题讨论】：

为了帮助解决此问题，请检查此similar post about Crashloopbackoff 以检查 pod 内的日志。

标签： kubernetes google-kubernetes-engine openldap kubernetes-pod podsecuritypolicy

【解决方案1】：

我通过删除 requiredDropCapabilities 下的“ALL”解决了这个问题。这似乎与 allowedCapabilities 冲突。

在这种情况下，我允许 2 个功能，但同时删除所有功能，这在我的情况下就是这个问题，通过删除“ALL”标志，而不是指定我想要一个一个删除的其他功能，它工作。

【讨论】：