【发布时间】：2023-04-10 15:12:01
【问题描述】：
有没有办法定义在特定命名空间中产生的所有 pod 会有特定的 fsGroup（例如=65534）？
谢谢！
【问题讨论】：
【发布时间】：2023-04-10 15:12:01
【问题描述】：
fsGroup 只能在 pod 级别本身设置，但是有一些方法可以控制和改变 apiserver 创建的 pod。
你可以有一个 mutating webhook，它为在特定命名空间中创建的所有 pod 添加/修改 fsGroup 字段： https://kubernetes.io/docs/reference/access-authn-authz/extensible-admission-controllers/
您还可以使用 OPA，它提供了一个可配置的动态准入控制器，您只需定义策略使其生效： https://www.openpolicyagent.org/docs/v0.12.2/kubernetes-admission-control/
【讨论】：