針對Kubernetes安全，美國NSA與CISA發表相關技術報告－－Kubernetes Hardening Guidance。當中不僅說明K8s環境的三大威脅，並提供安全指引讓企業參考，包括定期掃描Pod與Pod之間的安全漏洞與檢查配置錯誤等
k8s pod 在 iThome Security Facebook 的最讚貼文
「k8s pod」的推薦目錄：
- 關於k8s pod 在 iThome Security Facebook 的最讚貼文
- 關於k8s pod 在 矽谷牛的耕田筆記 Facebook 的最佳貼文
- 關於k8s pod 在 矽谷牛的耕田筆記 Facebook 的最佳貼文
- 關於k8s pod 在 [Kubernetes] Pod 的設計& 相關運作機制 - 小信豬的原始部落 的評價
- 關於k8s pod 在 GitHub - jamiehannaford/what-happens-when-k8s 的評價
- 關於k8s pod 在 How to login/enter in kubernetes pod - Stack Overflow 的評價
- 關於k8s pod 在 Kubernetes Taiwan User Group - Facebook 的評價
k8s pod 在 矽谷牛的耕田筆記 Facebook 的最佳貼文
本篇文章是個經驗分享系列文，作者探討 Kubernetes 內 15 種不被建議的部署策略與模式。
作者之前曾經撰寫過 Contianer 架構底下的部署模式探討，而本系列文(三篇)則是著重於如何將這些 containers 透過 Kubernetes 給部署到生產環境，總共會探討十五種不推薦的模式，接下來的三篇文章將會介紹各五種不好的模式。
Using containers with the latest tag in Kubernetes deployments
任何 container 的 image 都不應該使用 latest，因為 latest 本身沒有任何意義，這會使得維運人員沒有辦法掌握到底當前部署的版本是什麼，更嚴重的情況適當 latest 搭配 PullPolicy:Always 時會產生更為嚴重的問題。因為 Always 的策略導致每次 Pod 部署時都會重新抓取 image，所以一個 deployment 中，多個使用 latest tag 的 Pod 但是其實使用的 image hash 是不同的。
作者認為比較好的做法有
1. 所有 container image 都是不可修改的，一旦建立就禁止覆蓋，有任何改動就進版
2. 部署用的 image tag 使用有意義的版本名稱
補充: 實際上 pull image 也可以使用 sha256，譬如 "docker pull hwchiu/kubectl-tools@sha256:acfb56059e6d60bf4a57946663d16dda89e12bfb1f8d7556f277e2818680e4c8"
Baking the configuration inside container images
任何 contaienr image 建置的時候應該都要往通用的方向去設計，而不是參雜各種設定在裡面。著名的 12-factor app 裡面也有提到類似個概念，建置好的 image 應該要可以 build once, run everywhere，動態的方式傳入不同的設定檔案，而不是把任何跟環境有關的資訊都寫死
舉例來說，如果 image 內包含了下列設定(舉例，包含不限於)
1. 任何 IP 地址
2. 任何帳號密碼
3. 任何寫死的 URL
作者認為比較好的做法有
1. 透過動態載入的方式來設定運行時的設定，譬如Kubernetes configmaps, Hashicorp Consul, Apache Zookeeper 等
2. 根據不同程式語言與框架甚至可以做到不需要重啟容器就可以載入新的設定
Coupling applications with Kubernetes features/services for no reason
作者認為除了很明確專門針對 Kubernetes 使用，或是用來控制 Kubernetes 的應用程式外，大部分的 應用程式包裝成 Container 時就不應該假設只能運行在 Kubernetes 內。作者列舉了幾個常見的使用範例，譬如
1. 從 K8s label/annotation 取得資訊
2. 查詢當前 Pod 運行的資訊
3. 呼叫其他 Kubernetes 服務(舉例，假設環境已經存在 Vault，因此直接呼叫 vault API 來取得資訊)
作者認為這類型的綁定都會使得該應用程式無法於沒有 Kubernetes 的環境運行，譬如就沒有辦法使用 Docker-compose 來進行本地開發與測試，這樣就沒有辦法滿足 12-factor 中的精神。
對於大部分的應用程式測試，除非其中有任何依賴性的服務是跟外部 Kubernetes 綁定，否則這些測試應該都要可以用 docker-compose 來叫起整個服務進行測試與處理。
服務需要使用的資訊應該是運行期間透過設定檔案，環境變數等塞入到 Container 內，這樣也呼應上述的不要將與環境有關的任何資訊都放入 image 內。
Mixing application deployment with infrastructure deployment (e.g. having
Terraform deploying apps with the Helm provider)
作者認為近年來伴隨者 IaC 概念的熱門，愈來愈多的團隊透過 Terraform/Pulumi 這類型的工具來部署架構，作者認為將部署架構與部署應用程式放到相同一個 Pipeline 則是一個非常不好的做法。
將基礎架構與應用程式同時放在相同 pipeline 可以降低彼此傳遞資訊的困難性，能夠一次部署就搞定全部，然而這種架構帶來的壞處有
1. 通常應用程式改動的頻率是遠大於基礎架構的改變，因此兩者綁在一起會浪費許多時間在架構上
假如部署基礎架構需要 25 分鐘而應用
https://codefresh.io/kubernete.../kubernetes-antipatterns-1/
k8s pod 在 矽谷牛的耕田筆記 Facebook 的最佳貼文
本篇文章是經驗分享文，作者分享為什麼其跟最初學習 Kubernetes 使用的 minikube 說掰掰，而轉換到新歡 KIND 的故事
作者之前演講分享時，透過 minikube 架設所有 demo 環境，平常使用都好好的然而活動前幾天開始覺得叢集有點慢，但是作者並沒有特別注意去處理。
活動當天 demo 直接爆炸，系統變得很慢，不論是 pod 的各種操作都很慢，作者沒有辦法很漂亮的清除 minikube 內的環境，最後只好砍掉VM全部重來。
活動結束後作者重新創建了一次整個 VM(使用 VirtualBox)，結果整個系統還是很慢，作者開始思考有沒有其他的替代方案，後來找到了 Kind 這套解決方案。
KIND 是 Kubernetes In Docker 的縮寫，透過 Docker Container 的方式創建節點並基於該節點創建 Kubernetes 叢集。
這邊要注意的是 KIND 透過 Docker 創建節點，而節點內卻使用 Contaeinrd 作為 k8s 的 CRI 解決方案。
除了 KIND 之外， Rancher 維護的 K3D 也是一樣類型的創建方式，其中 K3D 支持動態加入與移除節點，KIND 只能一開始創建時就定好 cluster 的大小。
https://nfrankel.medium.com/goodbye-minikube-340070edc5af
k8s pod 在 GitHub - jamiehannaford/what-happens-when-k8s 的推薦與評價
After a few seconds, I should see three nginx pods spread across all my worker nodes. It works like magic, and that's great! But what's really going on under ... ... <看更多>
k8s pod 在 [Kubernetes] Pod 的設計& 相關運作機制 - 小信豬的原始部落 的推薦與評價
Pod 是在k8s 最基本的組成單位(也是最小的可佈署單位)，實際在k8s 上運行的很多resource object 都是以pod 型式存在，因此了解pod 運作的機制會讓我們 ... ... <看更多>