istio가 설치 된 후 샘플 파드에 주입 권한
97
4 asked
안녕하세요.
수강생입니다.
궁금한게 생겨 문의드립니다.
istio 가 설치 된 후 샘플 파드를 만들 때 istio init container와 istio proxy가 자동으로 샘플 파드에 자동으로 주입이 된다고 하는데 어떤 메카니즘으로 kubernetes api 입장에서 어떤 식으로 권한을 부여 해주는지 궁금합니다.
감사합니다.
Answer 2
0
안녕하세요. 좋은 질문 감사합니다.
Istio의 사이드카(istio-init, istio-proxy)가 자동으로 파드에 주입되는 것은 Kubernetes의 Mutating Admission Webhook 기능 때문인데, Mutating Admission Webhook는 쿠버네티스 리소스가 만들어지기 직전에 그 내용을 자동으로 수정할 수 있게 해주는 기능이고
Istio를 설치하면 istio-sidecar-injector라는 Webhook이 Kubernetes API Server에 등록되고, 이후 파드가 생성될 때마다 API Server는 파드 생성 요청을 Istio Webhook에 전달합니다.
그런다음 Istio Webhook은 해당 파드가 사이드카 주입 대상인지(네임스페이스 istio-injection=enabled 라벨 여부)를 판단한 뒤, 조건이 맞으면 파드의 spec을 수정하여 istio-init initContainer와 istio-proxy 사이드카 컨테이너를 자동으로 추가 하는 거죠
그리고 이 과정에서 Istio가 파드를 직접 생성하는 건 아니라 API Server가 수정된 파드 spec을 기준으로 최종 파드를 생성하기 떄문에 파드 생성 권한은 기존 사용자나 ServiceAccount의 권한을 그대로 사용해요.
이거 지금 부터 들어도 괜찮을까요 ?? 시간이 꽤지난거같은데 .. 뭐 최신하고 아에 안맞을까요 .
0
30
1
환경설정 스크립트에서 storageclass가 생성되지 않습니다.
0
39
2
pod kubetm/app 에서 image를 갑자기 못가져 오는거 같습니다.
1
36
2
3. Node Schedule 중 pod-5가 마스터 노드에 배치됩니다.
1
46
2
실제 시험에서 링크
1
38
1
volume hostpath의 강의에 관해 질문이 있습니다.
1
36
2
그라파나에서 대시보드 import 실패
1
59
2
VM 내 k8s에 접속하는 이유와 방식 문의
1
41
1
image pull 에러
1
46
2
영상오류
1
57
1
NetworkPolicy에서 NamespaceSelector 설정 관련
0
52
1
동영상이상여부
0
38
1
혹시 다음 강의는 언제쯤 나올까요?
0
42
1
컨트롤러
1
72
2
카페 접근 권한이 없습니다.
1
66
2
네임스페이스+파드
0
73
3
강의영상 과 자료
0
83
2
IP 가 어딨나요?
1
71
2
설치 문제 없는건가요?
1
57
1
강사님 가이드 부탁드립니다.
1
71
1
강사님 Sprint6 은 언제쯤 나오나요?
1
58
1
실습환경 구성중 문의
1
140
2
istio 설치 방법 문의
1
120
2
Istio와 Argo rollouts blue green배포
1
98
2