АМ
Ну суть ты понял
Size: a a a
2020 May 20
A
Спасибо, мы вам перезвоним. Кстати кейс совсем не редкость
а как у тебя в целом может утечь такой пароль?
A
так себе аргумент. А в шифте как с этим? Перегенеривать ключи и сертификаты не надо? Или там нормальный pki с отзывом сертификатов?
Там их можно перегенерить без реинстала хоть кусками, хоть всю цепочку от корневого сертификата
A
и все бандлы переделать
DS
Там их можно перегенерить без реинстала хоть кусками, хоть всю цепочку от корневого сертификата
+ я про тоже писал. Что можно перегенерить ключи и серты. Правда не все любят таким заниматься.
Шифт пошел видимо по пути отключения плагина аутентификации через сертификаты
Шифт пошел видимо по пути отключения плагина аутентификации через сертификаты
A
+ я про тоже писал. Что можно перегенерить ключи и серты. Правда не все любят таким заниматься.
Шифт пошел видимо по пути отключения плагина аутентификации через сертификаты
Шифт пошел видимо по пути отключения плагина аутентификации через сертификаты
🤔я ее честно говоря не колупал т.к. продавить Openshift SSO я не смог, поэтому у меня ток LDAP
АМ
🤔я ее честно говоря не колупал т.к. продавить Openshift SSO я не смог, поэтому у меня ток LDAP
Плюсую, так же
DS
а как у тебя в целом может утечь такой пароль?
с отключенном psp и разрешенным hostPath легко. Стантартный способ: за афинить pod на мастер и примонтировать /etc/kubernetes
A
с отключенном psp и разрешенным hostPath легко. Стантартный способ: за афинить pod на мастер и примонтировать /etc/kubernetes
на моменте запустить что-то на мастере...с 3.9+ я такого не встречал. там прям из коробки все деплоится только на компьютер роль
A
алсо хостпатх тоже требуют привелегий и секюрити контекста
DS
на моменте запустить что-то на мастере...с 3.9+ я такого не встречал. там прям из коробки все деплоится только на компьютер роль
admission хуки добавляют аффинити на роли, которые раскиданы по воркерам? Тоже прикольная фича из коробки если есть. Надо поискать эту штуку в репах шифта =)
DS
алсо хостпатх тоже требуют привелегий и секюрити контекста
да проще их отключить через psp
A
admission хуки добавляют аффинити на роли, которые раскиданы по воркерам? Тоже прикольная фича из коробки если есть. Надо поискать эту штуку в репах шифта =)
напрямую нет, это где-то в дефолтах проекта (надо смотреть) т.к. никакие аффинити в ямле самого пода не появляется. он просто не деплоится на мастерах и инфраструктуре, только на воркерах (компьютер нода)
A
да проще их отключить через psp
ты ничего не отключишь, если у тебя нет прав :)
DS
ты ничего не отключишь, если у тебя нет прав :)
ну так psp этим и управляет, кому можно hostpath монтировать (и какие пути), а кому нельзя. Собственно в шифте, наверняка scc просто обертка над ним
A
ну так psp этим и управляет, кому можно hostpath монтировать (и какие пути), а кому нельзя. Собственно в шифте, наверняка scc просто обертка над ним
или замена ) хз, я сколько колупал название psp только в доке кубера видел
EG
но ведь psp - это портативная приставка от Сони, которая к тому же устарела... 🤔🤔🤔
A
но ведь psp - это портативная приставка от Сони, которая к тому же устарела... 🤔🤔🤔
#язабан
DS
напрямую нет, это где-то в дефолтах проекта (надо смотреть) т.к. никакие аффинити в ямле самого пода не появляется. он просто не деплоится на мастерах и инфраструктуре, только на воркерах (компьютер нода)
не ну это при условии что у пода не указаны никакие taints и аффинити. А если их указать специально?
EG
#язабан
падажжи, где я тогда буду нытьё хрыча читать?