Как выполнить вход в узел (а не контейнер) с помощью kubectl

Question 1

Как выполнить exec в K8s узел?

До сих пор я нашел только способы выполнить exec в контейнеры, работающие на узле.

Я хотел бы избежать ssh.

Question 2

Слой выше пода (и их контейнеров) – это операционная система (исключая логические слои k8s).

Нет инструментов (о которых я знаю), которые являются частью инструментов управления Kubernetes, которые делают это – для этого используется SSH.

Question 3

Вы можете использовать kubectl-node-shell

kubectl-node-shell: запускает root shell в хостовой ОС узла.

Использование:

# Получить стандартный bash shell
kubectl node-shell <node>

Для этого необходимо уметь запускать привилегированные контейнеры.

Question 4

В зависимости от того, чего вы хотите достичь, вы можете запустить под с большими привилегиями.
Например, вы можете сделать hostpath монтирование на /. С некоторыми знаниями Linux этого должно быть достаточно.

apiVersion: v1
kind: Pod
metadata:
  name: evil-pod
spec:
  containers:
  - image: busybox
    name: evil
    command: ["/bin/sh"]
    args: "-c" ,"sleep infinity"]
    volumeMounts:
    - mountPath: /host
      name: host-root
  volumes:
  - hostPath:
      path: /
      type: ""
    name: host-root

Учтите, что это, конечно, проблема безопасности, и в безопасном кластере это не должно быть возможно.
Если вам нужно обслуживать узел, используйте SSH, как предложил самсон.

Question 5

Если вам нужен доступ к базовым узлам вашего кластера Kubernetes (и у вас нет прямого доступа – обычно, если вы размещаете Kubernetes где-то еще), вы можете использовать следующее развертывание для создания подов, где вы можете войти с kubectl exec, и у вас есть доступ ко всей файловой системе узла под /node-fs. Чтобы получить консоль узла, как если бы вы использовали SSH, после входа выполните chroot /node-fs. Настоятельно не рекомендуется оставлять это запущенным, но если вам нужен доступ к узлу, это поможет. Поскольку это DaemonSet, он запускает один из этих подов на каждом узле.

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: privpod
spec:
  selector:
    matchLabels:
      mydaemon: privpod
  template:
    metadata:
      labels:
        mydaemon: privpod
    spec:
      hostNetwork: true
      hostPID: true
      hostIPC: true
      containers:
        - name: privcontainer
          image: johnnyb61820/network-toolkit
          securityContext:
            privileged: true
          command:
            - tail
            - "-f"
            - /dev/null
          volumeMounts:
            - name: nodefs
              mountPath: /node-fs
            - name: devfs
              mountPath: /dev
      volumes:
        - name: nodefs
          hostPath:
            path: / 
        - name: devfs
          hostPath:
            path: /dev

Это из приложения C.13 книги Облачные приложения с Docker и Kubernetes. Я нашел это полезным, особенно если мне нужно работать с физическими дисками или чем-то подобным. Это не то, что следует оставлять работающим, но помогает в сложных ситуациях.

Question 6

Этот скрипт выполняет простой контейнер в пространстве хоста IPC, сети и PID. Затем он использует nsenter, чтобы переключиться на другие пространства имен и запустить BASH, предоставляя вам полностью функциональный root shell на выбранном узле (или случайном узле, если аргумент не предоставлен).

#!/bin/bash

host="$1"

json='
{
  "apiVersion": "v1",
  "spec": {
    "hostIPC": true,
    "hostNetwork": true,
    "hostPID": true
';

if ! [[ -z "$host" ]]; then
    json+=",
    \"nodeSelector\" : {
      \"kubernetes.io/hostname\" : \"$host\"
    }
    ";
fi

json+='
  }
}
'

kubectl run -ti --image alpine:3.8 --rm --privileged --restart=Never --overrides="$json" root --command -- nsenter -t 1 -m -u -n -i -- bash -l

Текущая версия скрипта расположена в этом репозитории GitHub.

Как выполнить вход в узел (а не контейнер) с помощью kubectl

Вопрос или проблема

Ответ или решение

Теоретическое обоснование

Примеры и инструменты

Применение