设置Pid cgroup限制

Question

我收到了以下扭曲锁漏洞：

(CIS_Docker_CE_v1.1.0 - 5.28)使用PID组限制

如何使用kubernetes部署yaml文件设置cgroup pid限制？

我知道docker run有设置pid限制的标志，但我们没有使用docker run。

有没有人能提个建议？

Answer 1

在Kubernetes 1.14中，他们添加了一项功能，允许对kubelet进行配置，以限制给定pod可以使用的PID数量。如果机器支持32,768个pod和100个吊舱，则可以为每个吊舱分配300个pod预算，以防止pod完全耗尽。

参数(PodPidsLimit)是kubelet配置的一部分：kubelet-configuration。

// The maximum number of processes per pod.  If -1, the kubelet defaults to the node allocatable pid capacity.
PodPidsLimit [int64](https://godoc.org/builtin#int64)

要查看当前配置以及参数在当前版本中是否可用，请执行以下操作：generate-configuration-file。

看一下：pid-limit-kubelet，pid-limit-pod。